اسم البرنامج الإضافي	إضافة wpForo للمنتديات
نوع الضعف	ثغرات التحكم في الوصول
رقم CVE	CVE-2026-4666
الاستعجال	واسطة
تاريخ نشر CVE	2026-04-17
رابط المصدر	CVE-2026-4666

التحكم في الوصول المكسور في wpForo <= 2.4.16 — ما يحتاج مالكو مواقع ووردبريس إلى معرفته (CVE-2026-4666)

تحليل تقني، تقييم المخاطر وتخفيفات عملية لثغرة التحكم في الوصول المكسور في إضافة منتدى wpForo “نشر الضيوف” (CVE-2026-4666). إرشادات خبراء من WP-Firewall لحماية المواقع بسرعة واستعادة الأمان.

الملخص التنفيذي

ثغرة تم الكشف عنها مؤخرًا تؤثر على إضافة منتدى wpForo (الإصدارات ≤ 2.4.16) تسمح للحسابات الموثوقة ذات الامتيازات المنخفضة (دور المشترك) بتعديل المشاركات في المنتدى بطريقة غير مصرح بها من خلال استغلال معالجة معلمة “نشر الضيوف” في الإضافة. هذه مشكلة التحكم في الوصول المكسور (CVE-2026-4666) مع تاريخ الكشف من Patchstack / الباحث في 17 أبريل 2026 وتقييم مشابه لـ CVSS حوالي 6.5 (متوسط).

إذا كنت تدير wpForo على موقعك وتستخدم إصدارًا أقدم من 3.0.0، فإن موقعك في خطر. الإجراء الموصى به على الفور هو التحديث إلى wpForo 3.0.0 (أو أحدث) حيث تم حل العيب. إذا لم تتمكن من التحديث على الفور، نفذ تخفيفات — تغييرات إعدادات الإضافة، تعزيز الأدوار، قواعد WAF، والمراقبة — حتى تتمكن من إكمال الترقية.

هذه المقالة (كتبها مهندسو أمان WP-Firewall) تشرح:

• ما هي الثغرة وكيف تعمل (تفاصيل عالية المستوى، غير قابلة للاستغلال)
• سيناريوهات التهديد وأهداف المهاجمين المحتملة
• إشارات الكشف التي يجب أن تبحث عنها في السجلات
• تخفيفات قصيرة الأجل (بما في ذلك قواعد WAF والتكوين)
• تعزيزات طويلة الأجل لتقليل المخاطر المماثلة عبر إضافات أخرى
• خطة عمل عملية للاستجابة للحوادث والاستعادة

نكتب من تجربة عملية في حماية آلاف مواقع ووردبريس وسنظهر تدابير محددة وآمنة يمكنك تطبيقها اليوم.

الخلفية: wpForo وميزة “نشر الضيوف”

wpForo هو إضافة منتدى مستخدمة على نطاق واسع لووردبريس توفر إدارة المواضيع والمشاركات، الأدوار والأذونات، وخيارات نشر الضيوف. الميزة التي تسمح بـ “نشر الضيوف” (السماح للزوار غير المسجلين بالنشر أو توفير مفاتيح تتعلق بالمشاركات التي أنشأها الضيوف) يتم تنفيذها في الأماكن التي تقبل فيها الإضافة المعلمات من تقديمات النماذج واستدعاءات AJAX.

ينشأ التحكم في الوصول المكسور ليس من خطأ منطقي في التشفير أو SQL ولكن من فحص تفويض مفقود أو غير كافٍ — كود يقبل القيم المقدمة من المستخدم (مثل علامة نشر الضيوف) ثم ينفذ إجراءً دون التحقق من أن المستخدم الذي يستدعي لديه القدرة الصحيحة. في هذه الحالة المحددة، يمكن لمستخدم “مشترك” (مستخدم موثوق ذو امتيازات منخفضة) التلاعب بالمعلمات في الطلب والتسبب في تعديلات على المشاركات في المنتدى التي يجب أن تكون مقيدة للمشرفين أو الإداريين.

نظرة عامة على الثغرة (مستوى عالٍ)

• البرامج المتأثرة: إضافة منتدى wpForo لووردبريس، الإصدارات ≤ 2.4.16
• التصنيف: التحكم في الوصول المكسور (فحص تفويض مفقود أثناء تعديل المشاركة عبر معلمة نشر الضيوف)
• CVE: CVE-2026-4666
• تم تصحيحه في: wpForo 3.0.0
• الامتياز المطلوب للاستغلال: مشترك موثق (امتياز منخفض)
• تقييم مشابه لـ CVSS: متوسط (حوالي 6.5)

على مستوى عالٍ، قبل المكون الإضافي معلمة طلب (تسمى عادة guestposting أو ما شابه) واستخدمها لتغيير السمات المتعلقة بمشاركات المنتدى دون التحقق من قدرات المستخدم أو التحقق من nonce/token. سمح ذلك لمستخدم ذي امتياز منخفض بتغيير المشاركات التي لا ينبغي له تعديلها أو تغيير بيانات التعريف الخاصة بالمشاركة.

ملحوظة: لن أقدم رمز استغلال أو تعليمات خطوة بخطوة قد تمكن من سوء الاستخدام. بدلاً من ذلك، يركز هذا المنشور على الكشف، والتخفيف، والإصلاح الآمن.

لماذا هذا الأمر خطير

• إمكانية الوصول من قبل المستخدمين الموثقين ذوي الامتيازات المنخفضة: يمكن للمهاجمين إنشاء حسابات بسهولة أو استهداف المشتركين الحاليين لتصعيد التأثير.
• خطر سلامة المحتوى: يمكن تعديل مشاركات المنتدى (تخريب، معلومات مضللة، إدراج بريد عشوائي).
• تأثير الثقة والخصوصية: إذا تم استخدام مواضيع المنتدى للدعم أو تحتوي على معلومات خاصة، يمكن أن تؤدي التعديلات غير المصرح بها إلى تسرب أو تشويه المحتوى.
• إمكانية الأتمتة: نظرًا لأن سطح الهجوم يمكن التنبؤ به (اسم المعلمة ونقاط النهاية)، فإن الاستغلال الجماعي عبر العديد من المواقع ممكن للحملات الآلية.
• التأثيرات الجانبية: المحتوى المخترق في المنتدى هو خطوة تمهيدية لعمليات التصيد، أو روابط البرمجيات الضارة، أو هجمات الهندسة الاجتماعية.

سيناريوهات الهجوم النموذجية

• يقوم مشترك خبيث بتعديل موضوع عالي القيمة لإدراج رابط إلى صفحة تصيد أو برمجيات ضارة.
• يتم استخدام حساب مشترك مخترق لإعادة كتابة عدة مشاركات لنشر معلومات مضللة.
• يستفيد المهاجمون من القدرة على تعديل المشاركات لتصعيد الامتيازات (في بعض سير العمل، قد تؤدي تغييرات المحتوى إلى تفعيل سير عمل آخر).
• المسح الجماعي والاستغلال الآلي عبر المواقع التي تعمل بالإصدار الضعيف من المكون الإضافي.

مؤشرات وكشف — ما الذي يجب البحث عنه

تحقق من سجلاتك، سجلات الخادم، ومسارات تدقيق WordPress لهذه الإشارات:

• طلبات POST أو AJAX غير عادية إلى نقاط نهاية wpForo تحتوي على معلمة guestposting (أو معلمة مشابهة) تنشأ من حسابات مشتركة موثقة.
• طلبات تتضمن تغييرات على مؤلف المشاركة، محتوى المشاركة، أو بيانات التعريف للمشاركات حيث لا يكون المستخدم الموثق هو المؤلف الأصلي وليس لديه دور مشرف.
• تعديلات مفاجئة على العديد من المشاركات في فترة قصيرة من حسابات ذات قدرة مشترك.
• تغييرات على معرفات post_author، حقول أسماء المؤلفين، أو إدخالات postmeta المرتبطة بسلوك guestposting.
• رسائل بريد إلكتروني لإشعار المسؤول (إذا تم تكوينها) حول تغييرات المشاركات التي تنشأ من حسابات ذات امتيازات منخفضة.
• تغييرات غير متوقعة في محتوى الواجهة الأمامية، أو رسائل غير مرغوب فيها، أو روابط تم إدراجها في مواضيع قائمة منذ فترة طويلة.

حيثما كان ذلك متاحًا، تحقق من سجلات التطبيق للمدخلات مثل:

• إجراءات AJAX التي تضرب نقاط النهاية مثل معالجات تحديث المشاركات في wpforo.
• تحذيرات nonce المفقودة / غير الصالحة (إذا تم تسجيل أي منها).
• أحداث تسجيل الدخول تليها تعديلات فورية على المحتوى من نفس الحساب.

خطوات فورية (0–24 ساعة)

1. جرد
     – تحديد المواقع التي تعمل على wpForo وتسجيل إصدارات المكونات الإضافية. مثال WP-CLI:
     – قائمة إضافات ووردبريس --status=active | grep wpforo
     – إذا كان لديك منصة إدارة مركزية، أضف هذه المواقع إلى قائمة المراقبة.
2. تحديث (مثالي)
     – قم بترقية wpForo إلى الإصدار 3.0.0 أو أحدث على الفور حيثما كان ذلك ممكنًا. اختبر في بيئة الاختبار أولاً إذا كان لديك تخصيصات.
3. إذا لم تتمكن من التحديث فورًا:
     – قم بتعطيل نشر الضيوف في إعدادات wpForo (إذا كنت تعتمد على نشر الضيوف، فكر في تعطيل هذه الميزة مؤقتًا).
     – قيد تسجيل المستخدمين أو اجبر الموافقة الإدارية للمستخدمين الجدد.
     – قم بإزالة أو تقليل قدرة حسابات المشتركين على إنشاء أو تعديل المشاركات:
       – استخدم مكونًا إضافيًا لإدارة القدرات أو أضف فلترًا مؤقتًا لمنع المشتركين من تعديل المشاركات.
     – تنفيذ قواعد WAF (جدار الحماية على مستوى الخادم أو التطبيق) لحظر الطلبات المشبوهة التي تستهدف نقاط النهاية الضعيفة (أمثلة أدناه).
     – راقب السجلات عن كثب بحثًا عن نشاط تعديل المشاركات المشبوه واغلق أي حسابات مشبوهة (إعادة تعيين كلمات المرور، إلغاء الجلسات).
4. تحقق من النزاهة:
     – تحقق عشوائيًا من المواضيع المهمة وقم بتصدير نسخ للتقييم.
     – إذا اكتشفت تغييرات غير مصرح بها، اتبع خطوات استجابة الحوادث أدناه.

كيف تحميك WP-Firewall (نظرة عامة)

كفريق أمان ووردبريس وبائع WAF، تتكون طريقتنا من عدة طبقات من الضوابط:

• قواعد قائمة على التوقيع وقواعد قائمة على السلوك تمنع الطلبات التي تتطابق مع أنماط الاستغلال المعروفة (بما في ذلك العبث بالمعلمات ومحاولات التفويض المفقودة).
• فحوصات على مستوى التطبيق يمكن أن تربط الطلبات بمستخدمي ووردبريس المسجلين وتمنع الإجراءات عندما يتم تقديم معلمة غير متوقعة من حساب منخفض الامتياز.
• التصحيح الافتراضي (قواعد التخفيف المؤقتة) التي تمنع الاستغلال في الوقت الحقيقي حتى يتم تطبيق تحديث المكون الإضافي.
• المراقبة المستمرة والتنبيه لاكتشاف التغييرات والنشاطات المشبوهة.

أدناه نقدم أنماط WAF آمنة وقابلة للتنفيذ واقتراحات لتقوية الخادم يمكن أن يطبقها المسؤولون أو فرق الأمان على الفور.

مرشحات WAF والخادم الموصى بها (أمثلة آمنة وعملية)

أفضل تخفيف هو تحديث المكون الإضافي، لكن قواعد WAF يمكن أن توفر درعًا فوريًا.

مهم: القواعد أدناه هي أمثلة دفاعية؛ نفذها بعناية واختبرها على موقع تجريبي لتجنب الإيجابيات الكاذبة.

1. قاعدة عالية المستوى (زائفة):
   - حظر طلبات POST إلى نقاط نهاية wpForo التي تحتوي على تغييرات في معلمة guestposting حيث تتطابق ملفات تعريف الارتباط للجلسة مع مستخدم لديه فقط قدرة المشترك.

   منطق زائف:
   - إذا تطابق request.path مع /wp-content/plugins/wpforo/* (أو نقاط نهاية إجراء AJAX المعروفة)
   - وَ request.method == POST
   - وَ request.body يحتوي على المعلمة “guestposting” (أو تباينات)
   - وَ logged_in_user_role == subscriber
   - إذن حظر / إرجاع 403 وتسجيل التفاصيل.

2. نمط على مستوى HTTP (مبني على regex) - يحظر العبث بالمعلمات المشبوهة (على مستوى الخادم):

   SecRule REQUEST_URI "@pmFromFile wpforo_endpoints.txt"
   

   ملاحظة: TX_USER_ROLE هو عنصر نائب يمثل تكامل WAF الذي يعرف دور ووردبريس. لا يمكن لـ ModSecurity القياسي ربط أدوار WP مباشرة؛ تحتاج إلى WAF واعي بالتطبيق أو قاعدة مكون إضافي متداخلة.

3. مقتطف تعزيز قصير الأجل من جانب ووردبريس (آمن لوضعه في mu-plugin أو إضافة صغيرة - يتطلب اختبارًا):

   <?php;
   

   هذا المقتطف متحفظ عمدًا (يمنع أي طلب مشترك بما في ذلك معلمة النشر الضيفي) ويجب استخدامه كإجراء طارئ قصير الأجل، تم اختباره في بيئة staging أولاً. بعد التثبيت، راقب سجلات المسؤول وأزلها بمجرد تحديث الإضافة.

4. قاعدة WAF لحظر سلوك التحرير الجماعي:
   - حظر معدل عالٍ من التعديلات من نفس الحساب منخفض الامتياز ضمن نافذة زمنية قصيرة (تحديد معدل).
   - حظر أجسام POST التي تحتوي على كل من معلمة النشر الضيفي وحقول تغيير post_author غير الفارغة عندما لا يكون الطالب هو المؤلف الأصلي.

التخفيفات على مستوى الإضافة وتكوين المسؤول

• تحديث إلى wpForo 3.0.0 في أقرب وقت ممكن.
• تعطيل النشر الضيفي أو طلب الاعتدال للنشر الضيفي.
• مراجعة أذونات المنتدى: التأكد من أن الأدوار الموثوقة فقط (المشرف، المسؤول) يمكنها تعديل أو الاعتدال في المواضيع.
• طلب التحقق من البريد الإلكتروني أو موافقة المسؤول للتسجيلات الجديدة إذا كان يجب أن يبقى النشر الضيفي مفعلًا.
• تنفيذ المصادقة الثنائية (2FA) لحسابات المسؤولين/المشرفين لتقليل خطر الاستيلاء على الحساب.

قائمة التحقق من استجابة الحوادث (إذا اكتشفت الاستغلال)

1. احتواء
   - تعطيل النشر الضيفي مؤقتًا وتقليل الأذونات لدور المشترك.
   - حظر عناوين IP والجلسات المشبوهة. فرض إعادة تعيين كلمات المرور للحسابات المشبوهة.
   - تطبيق قواعد WAF الطارئة / مقتطف mu-plugin أعلاه.
2. يفتش
   - تحديد المنشورات المتأثرة ونطاق التغييرات.
   - تصدير السجلات: سجلات خادم الويب، التطبيق، وسجلات WAF للفترة الزمنية ذات الصلة.
   - تحديد الحسابات المستخدمة لإجراء تعديلات غير مصرح بها وفحص تاريخ تسجيلها ونشاطها.
3. القضاء
   - التراجع عن تعديلات المحتوى غير المصرح بها من النسخ الاحتياطية أو استخدام مراجعات المنشورات للعودة.
   - إزالة روابط البرمجيات الخبيثة أو المحتوى المدخل.
   – إزالة أي أبواب خلفية أو مستخدمين غير مصرح بهم تم إنشاؤهم بواسطة المهاجمين.
4. استعادة
   – تحديث wpForo إلى 3.0.0 أو إصدار لاحق.
   – إعادة تفعيل الميزات تدريجياً، مع التأكد من عدم وجود أي شذوذ إضافي.
   – إعادة تعيين بيانات الاعتماد حسب الحاجة، وتعزيز تدابير المصادقة.
5. تعلم
   – إجراء مراجعة بعد الحادث وإصلاح أي ثغرات عملية تم تحديدها.
   – تطبيق المراقبة الآلية لاكتشاف الشذوذات المماثلة بعد التعديل في المستقبل.

يجب عليك تمكين المراقبة والاكتشاف

• مراقبة سلامة الملفات (مسح ملفات المكونات الإضافية بحثًا عن تغييرات غير متوقعة).
• سجلات نشاط WordPress (تتبع تعديلات المنشورات، تغييرات أدوار المستخدمين، تحديثات المكونات الإضافية).
• تنبيهات WAF لمحاولات الاستغلال المحجوبة (تسجيل الحمولة، المستخدم، IP).
• قياسات تحديد معدل الوصول لنقاط نهاية تعديل المحتوى.

توصيات طويلة الأجل لمؤلفي المكونات الإضافية ومالكي المواقع

لمؤلفي المكونات:

• تحقق دائمًا من قدرات المستخدم باستخدام current_user_can() قبل تغيير بيانات المنشور.
• استخدم رموز WordPress لأي عمليات تغيير حالة وتحقق منها.
• حدد المعلمات المقبولة من العميل وتحقق منها بدقة على الخادم.
• طبق مبدأ أقل الامتيازات: افترض أن العملاء قد يكونون مصادق عليهم ولكن غير مخولين.

لأصحاب المواقع:

• حافظ على تحديث النواة، والسمات، والمكونات الإضافية وفق جدول زمني منتظم.
• قم بتمكين WAF مُدار يفهم مفاهيم WordPress (سياق المستخدم المسجل).
• قم بإجراء مسحات منتظمة للثغرات واشتراك في معلومات الأمن ذات الصلة بـ WordPress.
• حافظ على النسخ الاحتياطية واختبر عمليات الاستعادة.

مثال على تفويض أكثر أمانًا على جانب الخادم (إرشادات مؤلف المكون الإضافي)

تحقق بسيط على جانب الخادم يجب على المطور تضمينه (رمز زائف آمن):

// في كود wpForo حيث يتم معالجة معلمة نشر الضيف:

يضمن هذا النمط أن يتحقق المكون الإضافي من القدرات قبل إجراء تغييرات على المنشورات التي لا ينبغي السماح لمشترك بتعديلها.

الأسئلة الشائعة

س: قمت بتحديث wpForo؛ هل لا زلت بحاجة إلى حماية إضافية؟

ج: نعم. التحديث يصلح هذه الثغرة المحددة. يبقى الدفاع في العمق مهمًا: جدران الحماية، المراقبة، وتدابير مبدأ الحد الأدنى من الامتيازات تقلل من المخاطر من المشكلات المستقبلية.

س: رأيت تعديلات مشبوهة لكنها تبدو طفيفة. هل لا زلت بحاجة إلى التصرف؟

ج: نعم. حتى التعديلات الصغيرة يمكن أن تتضمن روابط خبيثة أو تزرع الهندسة الاجتماعية. تحقق من النطاق واتبع قائمة التحقق من الاستجابة.

س: هل يمكن للزائر غير المصرح له استغلال ذلك؟

ج: الثغرة كما تم الكشف عنها تتطلب حسابًا موثقًا بمستوى مشترك. ومع ذلك، يمكن للمهاجمين إنشاء أو اختراق مثل هذه الحسابات على المواقع التي تسمح بالتسجيل المفتوح؛ لذلك، قلل من مخاطر التسجيل المجهول.

قائمة مرجعية عملية لمالكي المواقع (خطوة بخطوة)

• قم بجرد جميع المواقع التي تعمل على wpForo وحدد الإصدارات.
• قم بترقية wpForo إلى 3.0.0 على جميع المواقع (اختبر في بيئة الاختبار أولاً).
• قم بتعطيل نشر الضيوف أو اجعل المنشورات الضيفية تتطلب الاعتدال حتى التحديث.
• نفذ قاعدة WAF قصيرة الأجل أو طبق مقتطف mu-plugin لحظر الطلبات المشبوهة.
• راجع حسابات المستخدمين بدور مشترك للنشاط المشبوه؛ أعد تعيين كلمات المرور حسب الحاجة.
• عُدّل التعديلات غير المصرح بها على المنشورات وراجع مراجعات المنشورات.
• قم بتمكين تسجيل النشاط وجدولة عمليات الفحص المنتظمة.
• ضع في اعتبارك تمكين حدود المعدل على نقاط نهاية تعديل المنشورات للأدوار غير المعتدلة.

مثال من العالم الحقيقي: ما يجب مراقبته في السجلات (مؤشرات نموذجية)

• POST /?wpforo=ajax&action=post_edit مع ARGS: guestposting=1 && post_id=123 && post_author=55 من user_id=789 (مشترك) — مشبوه إذا كان user_id 789 != post_author ويفتقر إلى القدرة على الاعتدال.
• سلسلة من التعديلات الصغيرة (تغيير طول المحتوى < 200 حرف) عبر العديد من المنشورات في فترة زمنية قصيرة من نفس المستخدم.
• حجم كبير من استجابات AJAX تعيد حالة 200 لإجراءات التحرير من حسابات ذات امتيازات منخفضة.

لماذا لا تعتمد فقط على أدوار المستخدمين؟ (ملاحظة حول الدفاع في العمق)

الأدوار والقدرات أساسية، لكنها مجرد تحكم واحد. يمكن تجاوز الافتراض الثابت بأن “المشتركين لا يمكنهم تحرير المشاركات” من خلال عيوب المكونات الإضافية (كما يظهر هذا الحالة). اجمع بين فحوصات القدرات والتحقق من جانب الخادم، والنقاط غير المتزامنة، وحمايات WAF في وقت التشغيل لوقف تقنيات الاستغلال المعروفة وغير المعروفة.

جديد: ابدأ في حماية موقعك مع خطة WP-Firewall المجانية.

إذا كنت تريد طبقة حماية مُدارة وفورية أثناء تصحيح وتعزيز الأمان، فإن WP-Firewall تقدم خطة أساسية مجانية مصممة لأصحاب مواقع WordPress الذين يريدون حماية أساسية دون تعقيد. تشمل الخطة الأساسية (المجانية) جدار حماية مُدار، عرض نطاق غير محدود، جدار حماية لتطبيقات الويب (WAF)، ماسح للبرامج الضارة، وتخفيف لمخاطر OWASP Top 10 - جميعها مصممة لمساعدتك في الدفاع ضد مشكلات مثل ثغرة الضيافة للزوار في wpForo بينما تتصرف.

استكشف خطة WP-Firewall الأساسية (المجانية) واحصل على حماية فورية: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

(إذا كنت بحاجة إلى مزيد من التنظيف التلقائي وحمايات مركزة على الحساب، فإن مستوياتنا المدفوعة تضيف إزالة تلقائية للبرامج الضارة، تحكمات IP، تصحيح افتراضي للثغرات وخدمة أمان مُدارة.)

ملاحظات ختامية وقراءة موصى بها

• أعطِ الأولوية لتحديث wpForo إلى 3.0.0 حيثما كان ذلك ممكنًا.
• إذا كنت تدير عدة مواقع WordPress، اعتبر ذلك جزءًا من برنامج إدارة التصحيحات الأكبر: جرد، جدولة، اختبار، ونشر التحديثات بسرعة.
• ضع في اعتبارك WAF واعي للتطبيق يمكنه ربط الطلبات بمستخدمي WordPress وأدوارهم - هذا يمكّن من تصحيح افتراضي أكثر دقة أثناء التحديث.

إذا كنت بحاجة إلى مساعدة في تقييم التعرض عبر العديد من التثبيتات، بناء تصحيحات افتراضية مؤقتة، أو التحقيق في نشاط مشبوه يتعلق بهذه الثغرة، يمكن لفريق WP-Firewall المساعدة. هدفنا هو أن نساعدك في التصحيح، والحماية والعودة إلى العمل بأقل قدر من الاضطراب الممكن.

ابقَ آمنًا، وإذا كنت بحاجة إلى مزيد من الإرشادات أو شرح لتنفيذ المقاطع المؤقتة والقواعد الموضحة هنا، اتصل بقناة دعم WP-Firewall الخاصة بك أو استشر فريق التطوير لديك.

---

المؤلفون: فريق أمان جدار الحماية WP

آخر تحديث: 17 أبريل 2026

إخلاء المسؤولية: هذه النصيحة تهدف إلى مساعدة أصحاب المواقع في حماية مواقعهم. إنها تتعمد حذف كود الاستغلال. استخدم الإرشادات أعلاه فقط للدفاع، والكشف، والتصحيح، والاختبار الآمن في بيئات خاضعة للتحكم.