ماسح CVEs لـ WordPress

افحص نواة WordPress والقوالب والإضافات الخاصة بك بحثًا عن CVEs المعروفة من سطر الأوامر. مفتوح المصدر، قابل للتدقيق، يعطي الأولوية للخصوصية — مدعوم بـ ValtersIT CVE API.

جزء من منصة ValtersIT — بيانات CVE وThreat-IP يمكنك الاستعلام عنها أو تشغيلها بنفسك. استكشف كلًا من API والماسحات: https://www.valtersit.com/platform/ خطط الماسح والأسعار: https://www.valtersit.com/cve/pricing/#scanners

ما الذي يفعله

يكتشف إصدار نواة WordPress، وكل قالب مثبّت، وكل إضافة مثبّتة (مع الإصدارات الدقيقة) على الجهاز الذي تشغّله عليه. إذا كان WP-CLI متاحًا فإنه يبلّغ أيضًا عن القالب النشط وأي الإضافات نشطة مقابل مجرد مثبّتة؛ وإلا فإنه يسرد كل ما يمكنه رؤيته على القرص. لا يفحص أبدًا سوى تثبيت WordPress الموجود فعليًا على نظام الملفات المحلي — مرّر له عنوان URL وسيرفض التشغيل. ثم يرسل قائمة المكوّنات تلك إلى ValtersIT API ويبلّغ عن CVEs المطابقة.

بياناتك تبقى ملكك

• ما نتلقاه: اسم المكوّن وإصداره فقط (مثل wordpress-core 6.7.1، WordPress Plugin akismet 5.3.3)، بالإضافة إلى معرّف عشوائي يُولَّد محليًا حتى تُعرَف عمليات الفحص المتكررة لنفس التثبيت على أنها نفس النظام.
• ما لا نتلقاه أبدًا: عنوان IP الخاص بخادمك، أو اسم المضيف، أو عنوان MAC، أو مفاتيح التشفير، أو كلمات المرور، أو محتويات قاعدة البيانات، أو محتويات أي ملف. لا شيء خارج name + version (+ ذلك المعرّف العشوائي) يغادر هذا السكربت أبدًا.
• ما لا يفعله: لا وصول إلى قاعدة البيانات (يقرأ تعليقات رأس الإضافة/القالب، واختياريًا، يستدعي wp CLI الخاص بك — لا يفتح أبدًا wp-config.php ولا يتصل بـ MySQL بنفسه)، لا رفع ملفات، لا اتصال خفي في الخلفية يتجاوز استدعاء إرسال الفحص الواحد نفسه.
• دقّقه بنفسك. هذا مفتوح المصدر — ملفان، حوالي 450 سطرًا إجمالًا. اقرأ valtersit-wp-scan.py وvaltersit_client.py؛ لا يوجد شيء آخر يعمل.

التثبيت

استنسخ المستودع:

# GitHub
git clone https://github.com/hugovalters/wordpress-cve-scanner
cd wordpress-cve-scanner

# GitLab
git clone https://gitlab.com/valtersit/wordpress-cve-scanner
cd wordpress-cve-scanner

أو، بأمر واحد (لا حاجة إلى git):

# GitHub
mkdir -p wordpress-cve-scanner && cd wordpress-cve-scanner
curl -fsSLO https://raw.githubusercontent.com/hugovalters/wordpress-cve-scanner/main/valtersit-wp-scan.py
curl -fsSLO https://raw.githubusercontent.com/hugovalters/wordpress-cve-scanner/main/valtersit_client.py

# GitLab
mkdir -p wordpress-cve-scanner && cd wordpress-cve-scanner
curl -fsSLO https://gitlab.com/valtersit/wordpress-cve-scanner/-/raw/main/valtersit-wp-scan.py
curl -fsSLO https://gitlab.com/valtersit/wordpress-cve-scanner/-/raw/main/valtersit_client.py

عيّن مفتاح API الخاص بك — كلتا الطريقتين تعملان:

# Method 1: environment variable (recommended)
export VALTERSIT_API_KEY="vit_v1_your_key_here"

# Method 2: edit one line directly in valtersit_client.py
#   API_KEY = "vit_v1_your_key_here"

احصل على مفتاح من valtersit.com/cve/pricing.

شغّله:

python3 valtersit-wp-scan.py --path /var/www/html
# or, if run from inside the WordPress root, --path can be omitted

يتطلب فقط مفسّر Python 3 قياسي (3.7+). لا حاجة إلى pip install.

نموذج المخرجات

ValtersIT WordPress Scanner - target: /var/www/html
Detection method: WP-CLI (active/inactive known)

==============================================================================
 WORDPRESS CORE
==============================================================================
Component             Version
-------------------------------------
wordpress-core        6.7.1

 1 item(s) detected. No IP address, hostname, MAC address, file
 contents, or credentials were read or transmitted by this scan.
==============================================================================

==============================================================================
 ACTIVE / INSTALLED THEMES (2)
==============================================================================
Slug                           Version       Status
--------------------------------------------------------
twentytwentyfour               1.2           active
twentytwentythree              1.4           inactive
...

==============================================================================
 INSTALLED PLUGINS (14)
==============================================================================
Slug                               Version       Status
------------------------------------------------------------
akismet                            5.3.3         active
woocommerce                        9.4.1         active
...

[+] Scan submitted. 17 component(s) sent for matching.
{
  "matched_cves": 2,
  "results": [
    {"slug": "woocommerce", "version": "9.4.1", "cve_id": "CVE-2026-31842", "cvss": 8.1, "patched_in": "9.4.3"},
    {"slug": "akismet", "version": "5.3.3", "cve_id": "CVE-2025-90210", "cvss": 5.4, "patched_in": "5.3.4"}
  ]
}

ما الخطوة التالية: قم بمطابقة أي cve_id أعلاه مع https://www.valtersit.com/cve/CVE-XXXX-XXXXX/ للحصول على التحليل الكامل (CVSS، EPSS، توفر الاستغلال، إرشادات الترقيع) قبل تحديد ما يجب تحديثه أولاً. أي عنصر يحتوي على إصدار patched_in أحدث من الإصدار المثبَّت هو قائمة أولوياتك.

جدولته

Cron، يوميًا عند الساعة 04:00، غير تفاعلي (يتطلب منك أن تكون قد أكدت مطالبة الاستخدام المصرَّح به مرة واحدة بشكل تفاعلي):

0 4 * * * cd /opt/wordpress-cve-scanner && VALTERSIT_API_KEY=vit_v1_xxx /usr/bin/python3 valtersit-wp-scan.py --path /var/www/html --yes >> /var/log/valtersit-wp-scan.log 2>&1

سطر واحد:

VALTERSIT_API_KEY=vit_v1_xxx python3 valtersit-wp-scan.py --path /var/www/html --yes

مسارات الإعداد

نظام جديد نظيف: ثبّت Python 3 (موجود افتراضيًا على كل توزيعة Linux تقريبًا) واختياريًا WP-CLI لمعرفة حالة الإضافات والقوالب النشطة/غير النشطة. استنسخ هذا المستودع، واضبط VALTERSIT_API_KEY، وشغّله مرة واحدة تفاعليًا لتأكيد الاستخدام المصرّح به، ثم أضف سطر cron أعلاه.

نظام إنتاج قائم: لا يحتاج تثبيت WordPress نفسه إلى أي تغيير — هذه الأداة تقرأ فقط، ولا تكتب أبدًا إلى wp-content، ولا تلمس قاعدة البيانات، ولا تعيد تشغيل أي شيء. ضع الملفين في أي مكان يمكن للمستخدم الذي يشغّلها قراءته (يكفي مستخدم منخفض الصلاحيات؛ لا يلزم أن يكون www-data أو root، بل يكفي امتلاك صلاحية قراءة دليل WordPress فقط)، وصدّر مفتاح API، وشغّلها يدويًا مرة واحدة قبل جدولتها.

للاستخدام المصرّح به فقط

شغّل هذه الأداة فقط على تثبيتات WordPress التي تملكها، أو التي لديك تفويض كتابي صريح لتقييمها. ترفض هذه الأداة عمدًا استهداف أي شيء غير مسار نظام ملفات محلي لهذا السبب تحديدًا — فلا يمكن توجيهها إلى موقع طرف ثالث عبر الشبكة.

قبل أول فحص لها، تعرض هذه الأداة هذا النص تحديدًا وتطلب منك كتابة YES للمتابعة — لا تأكيد، لا فحص:

------------------------------------------------------------------------------
 ValtersIT Scanner — Authorised Use Confirmation
------------------------------------------------------------------------------
 Run this tool ONLY against systems you own, or for which you have explicit
 written authorisation to assess.

 This scan sends only component name + version (plus a random local
 identifier) to the ValtersIT API — no IP address, hostname, or file
 contents. See the Privacy Policy: https://www.valtersit.com/privacy

 Type YES to confirm you are authorised to scan this system and continue.
 Anything else aborts without scanning.
------------------------------------------------------------------------------

راجع valtersit_client.py (require_consent) للاطلاع على تلك البوابة.

مرخّص بموجب Apache-2.0 (انظر LICENSE وNOTICE)؛ يُقدَّم دون أي ضمان من أي نوع. "ValtersIT" وشعار ValtersIT علامتان تجاريتان مملوكتان لـ Valters Capital, SIA وليستا مرخّصتين للاستخدام.

أسئلة أو خطأ؟

من فضلك لا تفتح تذاكر على GitHub/GitLab — فأنا لا أراقبها. تواصل معي عبر نموذج الاتصال بدلاً من ذلك: https://www.valtersit.com/contacts/ يُشرف عليه Hugo Valters