CVE-2025-54123

ملخص

Hoverfly هي أداة مفتوحة المصدر لمحاكاة واجهات برمجة التطبيقات (API). في الإصدارات 1.11.3 وما قبلها، تكون وظيفة الوسيط (middleware) في Hoverfly عرضة لثغرة حقن الأوامر (command injection) في نقطة النهاية `/api/v2/hoverfly/middleware` بسبب عدم كفاية التحقق والتنقية في مدخلات المستخدم. توجد الثغرة في نقطة نهاية واجهة برمجة تطبيقات إدارة الوسيط `/api/v2/hoverfly/middleware`. تنشأ هذه المشكلة نتيجة لمزيج من ثلاثة عيوب على مستوى الكود البرمجي: عدم كفاية التحقق من المدخلات في middleware.go الأسطر 94-96؛ تنفيذ أوامر غير آمن في local_middleware.go الأسطر 14-19؛ والتنفيذ الفوري أثناء الاختبار في hoverfly_service.go السطر 173. يسمح هذا للمهاجم بالحصول على تنفيذ التعليمات البرمجية عن بُعد (RCE) على أي نظام يشغّل خدمة Hoverfly المعرضة للخطر. نظرًا لأن المدخلات تُمرَّر مباشرةً إلى أوامر النظام دون فحوصات مناسبة، يمكن للمهاجم رفع حمولة خبيثة أو تنفيذ أوامر عشوائية (بما في ذلك الصدى العكسي/reverse shells) على الخادم المضيف بصلاحيات عملية Hoverfly. يوقف الالتزام 17e60a9bc78826deb4b782dca1c1abd3dbe60d40 في الإصدار 1.12.0 واجهة برمجة تطبيقات تعيين الوسيط (set middleware API) افتراضيًا، وتوضح التغييرات اللاحقة في الوثائق للمستخدمين التغييرات الأمنية الناتجة عن كشف واجهة برمجة تطبيقات تعيين الوسيط.

• Hoverfly-1.11.3-RCE-CVE-2025-54123-Exploitاستغلال

  استغلال لـ CVE-2025-54123، وهو حقن أوامر نظام تشغيل مُصادق عليه في واجهة برمجة تطبيقات الوسيط في Hoverfly، يوفر إمكانيات الفحص فقط، والأمر الفردي، والصدفة التفاعلية، والصدفة العكسية لاختبارات الأمان المصرح بها.

• CVE-2025-54123