trandonga3/poc-cve-2026-63030-cve-2026-60137-سلسلة استغلال لـ WordPress Core باستخدام التباس المسار (route-confusion) في REST API وحقن SQL لتحقيق تنفيذ كود عن بُعد (RCE) دون مصادقة، وتصعيد الامتيازات، والاستيلاء الكامل على الخادم.
-red?style=for-the-badge){kind=icon}
WP2Shell هي سلسلة استغلال (Exploit Chain) لثغرة حرجة في نواة WordPress Core، تتيح للمهاجم عن بُعد بدون مصادقة (Unauthenticated Remote Attacker) السيطرة الكاملة على الخادم (Full Server Takeover / RCE).
تتكون سلسلة الاستغلال من ثغرتين أمنيتين:
WP_Query): خطأ في معالجة المعامل author__not_in داخل WP_Query دون تنقية المدخلات (Sanitization) بشكل كافٍ، مما يؤدي إلى SQL Injection.عند دمج الثغرتين معًا، يمكن للمهاجم إرسال طلب HTTP مخصص إلى /wp-json/batch/v1، متجاوزًا آليات المصادقة، وتفعيل SQLi لتصعيد الصلاحيات وإنشاء shell وتنفيذ أوامر عشوائية عن بُعد (RCE).
| الخاصية | التفاصيل |
|---|---|
| اسم سلسلة الاستغلال | WP2Shell |
| معرّفات CVE | CVE-2026-63030 و CVE-2026-60137 |
| درجة الخطورة | Critical (CVSS v3.1: 9.8 / 10.0) |
| متجه الهجوم | Network (عن بُعد بدون مصادقة) |
| الإصدارات المتأثرة | • سلسلة RCE الكاملة: WordPress 6.9.0 - 6.9.4 و 7.0.0 - 7.0.1• حقن SQL فقط: WordPress 6.8.0 - 6.8.5 |
| الإصدارات المُصحّحة | WordPress 6.8.6، 6.9.5، 7.0.2 |
فيديو يوثّق كامل عملية إعادة إنتاج الثغرة واستغلالها الفعلي، مخزّن على Google Drive:
🔗 رابط مشاهدة / تحميل فيديو PoC: Google Drive - فيديو توضيحي لـ WP2Shell PoC
كامل مسار التحليل الفني، وخطوات إعادة إنتاج PoC خطوة بخطوة، وشرح الكود المصدري، مخزّنة على Notion:
🔗 رابط مقال Notion: مسار PoC لثغرات CVE WP2Shell (Notion Writeup)
flowchart TD
A["[Attacker] Unauthenticated Remote Request"] --> B["REST API Batch Endpoint (/wp-json/batch/v1)"]
B --> C["CVE-2026-63030: Batch Route Confusion\n(Bypass Route Validation & Access Control)"]
C --> D["CVE-2026-60137: SQL Injection\n(Unsanitized 'author__not_in' in WP_Query)"]
D --> E["Database Manipulation / Privilege Escalation\n(Admin session / User creation)"]
E --> F["Web Shell Upload / Execution"]
F --> G["💥 Full Server Takeover (RCE)"]
/wp-json/batch/v1 من المستخدمين غير المصادَق عليهم إذا تعذّر التحديث الفوري./wp-json/batch/v1.wp-content/uploads/ و wp-content/plugins/ للكشف عن أي web shell أو ملفات غريبة.[!WARNING] هذه الوثيقة والكود المصدري للـ PoC مخصصان فقط لأغراض البحث الأمني والتعليم والدفاع عن الأنظمة. لا يتحمل المؤلف أي مسؤولية عن الاستخدام غير المصرح به للمعلومات أو الأدوات الموجودة في هذا المستودع لمهاجمة أنظمة لا تملك صلاحية قانونية لاستهدافها.