---

🔍 نظرة عامة

واجهة رسومية حديثة بـ Tkinter (المكتبة القياسية فقط، دون أي اعتماديات خارجية) لـ CVE-2026-87902 — وهو تضمين ملف محلي (LFI) دون مصادقة في نواة WordPress عبر معامل pagename الخاص بـ get_page_template()، يُصعَّد إلى تنفيذ شيفرة عن بُعد (RCE) عبر سلسلة أدوات PEAR (pearcmd.php + config-create).

• المتأثر: WordPress 4.7.0 – 7.1.1
• تم إصلاحه في: 6.8.10، 7.0.6، 7.1.2
• CVSS: 9.8 — CWE: 22 — GHSA: 7hp8-65ch-5whp

---

✨ الميزات

• 🎯 فحص فردي وجماعي — هدف واحد أو قائمة عناوين URL من ملف، متعدد الخيوط
• 🔎 بصمة النظام — يكتشف WordPress وإصدار النواة والقالب النشط
• 🧪 فحص غير مدمّر — وضع check-only يؤكد وجود LFI دون تنفيذ أي شيء
• 💥 LFI → RCE — تخمين قسري لـ pearcmd.php (Linux + XAMPP/Windows) عبر الأعماق 1–19، وكتابة PHP عبر config-create
• 📁 نشر مدير الملفات — يُسقط fm_<hex>.php في مجلد الإسقاط المُهيأ بمجرد نجاح RCE
• 🛡️ حارس ضد الإيجابيات الكاذبة — فحص تحكم سلبي على أداة OPML (يكتشف المخرجات المحيطة)
• 🎨 واجهة Hacker Console — سمة نيون داكنة، مطر مصفوفة، طرفية ملوّنة، إحصاءات حية، شريط تقدم
• 📊 تصدير CSV — تفريغ مجموعة النتائج الكاملة إلى CSV

---

📦 المتطلبات

• Python 3.8 أو أحدث
• لا حاجة إلى pip install — مكتبة قياسية خالصة (tkinter، urllib، ssl، socket، gzip، zlib، threading، queue، ...)

إذا كانت Tkinter مفقودة على نظامك (فهي حزمة نظام تشغيل، وليست حزمة pip):

المنصة	الأمر
Debian / Ubuntu	sudo apt install python3-tk
Fedora / RHEL	sudo dnf install python3-tkinter
Arch Linux	sudo pacman -S tk
macOS (Homebrew)	brew install python-tk
Windows	مضمّنة مع مثبّت Python الرسمي

---

⚡ البدء السريع

git clone https://github.com/tonydelouvre/CVE-2026-87902.git
cd CVE-2026-87902
python3 xwp_gui.py

اختصارات لوحة المفاتيح:

المفتاح	الإجراء
Ctrl+Enter	بدء الفحص
Esc	إيقاف الفحص

---

🎯 الاستخدام

1. TARGET — اختر SINGLE (رابط واحد) أو MASS، ثم BROWSE LIST لملف .txt يحتوي على رابط واحد في كل سطر.
2. MODE — فعّل exploit -> RCE و deploy file manager للسلسلة الكاملة، أو check-only لإجراء تحقق آمن.
3. ADVANCED — اضبط oracle، depths، segments، probe، threads، timeout، proxy.
4. اضغط START SCAN وراقب تبويبي CONSOLE و RESULTS.

حقول الإعدادات

الحقل	الافتراضي	الوصف
target url	–	رابط الأساس للهدف (الوضع الفردي)
target list	–	ملف الروابط (الوضع الجماعي)
command	id	الأمر الذي يُنفَّذ بعد تحقيق RCE
drop dir	/tmp	الدليل الذي يُكتب فيه File Manager
oracle	wp-links-opml	ملف أساسي يُستغل كـ LFI oracle
depths	4,3,5,6,7	أعماق تجاوز ../ التي ستُجرَّب
segments	templates,templates/page-templates,page-templates	أدلة page-* الخاصة بالقالب
probe	12	عدد قيم page_id التي ستُفحص
threads	10	عمال متوازون (الحد الأقصى 50)
timeout	12.0	مهلة كل طلب بالثواني
max time	60.0	الميزانية الزمنية لكل هدف بالثواني
proxy	–	http://host:port

بناء الحمولة

تُنتج build_pagename() التركيبة segment + %252f + N× %252e%252e%252f + target، مع تطبيق ترميز URL المزدوج:

/?page_id=<N>&pagename=templates%252f%252e%252e%252f...%252fwp-links-opml

🔬 كيف يعمل

المرحلة	الوحدة	الإجراء
1. البصمة	Fingerprinter	اكتشاف WordPress + الإصدار (generator، ?ver=، wp-links-opml.php) والقالب
2. الشرط المسبق	PreconditionChecker	تحديد موقع دليل page-* الخاص بالقالب المستخدم كجزء اجتياز المسار
3. الاكتشاف	PageDiscoverer	جمع قيم page_id عبر REST API وخرائط الموقع والروابط المختصرة وفئات page-id-
4. LFI	TraversalExploiter	طلب ?page_id=N&pagename=<double-encoded path> والبحث عن مؤشر <opml version=
5. RCE	RCEEscalator	تحديد موقع أداة pearcmd.php على عمق 1–19، وكتابة PHP عبر pear +config-create+، وتنفيذ الأمر
6. ما بعد الاستغلال	shell.php	نشر مدير الملفات (fm_<hex>.php) في دليل الإسقاط

اختصارات الإصدار: إذا أبلغت البصمة عن patched أو out_of_range، يتم تخطي الهدف فورًا لتوفير الوقت.

---

🖥️ المخرجات

تعرض علامة التبويب RESULTS الأعمدة target وverdict وversion وlfi وrce وshell. يتم تمييز الصفوف المصنفة VULNERABLE باللون السماوي؛ وتتحول الصفوف التي حققت RCE إلى اللون الأرجواني. يكتب EXPORT كل شيء إلى CSV:

target,verdict,version,lfi,rce,shell,detail
http://target.local,VULNERABLE,6.4,templates/../../ d=4 POST,uid=33(www-data),http://target.local/?page_id=2&pagename=...,

🛡️ التخفيف

لمسؤولي النظام:

1. حدّث WordPress إلى 7.1.2 أو أحدث (الإصدارات المُصحّحة: 6.8.10، 7.0.6، 7.1.2).
2. أضف قاعدة WAF تحجب الطلبات التي تحتوي قيمة pagename فيها على ../ أو %2e%2e.
3. عطّل register_argc_argv في php.ini — فهذا يُعطّل سلسلة استغلال PEAR.
4. احذف pearcmd.php إذا لم تكن بحاجة إلى PEAR.

; php.ini
register_argc_argv = Off

⚖️ إخلاء المسؤولية القانونية

لأغراض اختبار الأمان المصرح به فقط

تُقدَّم هذه الأداة حصريًا لاختبار الاختراق والبحث الأمني بموافقة كتابية مسبقة. استخدامها ضد أهداف دون إذن صريح هو:

• ❌ غير قانوني في معظم الولايات القضائية
• ❌ غير أخلاقي وانتهاك لقوانين الاحتيال الحاسوبي
• ❌ محظور تمامًا من قبل مؤلف الإطار الأصلي