🚨 CVE-2026-42569 - phpVMS مسح قاعدة البيانات دون مصادقة

مسح قاعدة البيانات دون مصادقة / استيراد مدمر في phpVMS

📌 نظرة عامة

CVE-2026-42569 هي ثغرة أمنية حرجة في phpVMS (نظام إدارة الخطوط الجوية الافتراضية) تسمح لـالمهاجمين غير المصادَق عليهم بالوصول إلى نقاط نهاية الاستيراد القديمة.

كان من المفترض أن تكون نقاط النهاية هذه مقيدة، لكنها تظل قابلة للوصول في الإصدارات ≤ 7.0.5، مما قد يسمح للمهاجمين بتشغيل عمليات حذف جماعي أو مسح قاعدة البيانات.

🛠 الإصدارات المتأثرة

⚠️ الأثر

• وصول دون مصادقة
• حذف جماعي للرحلات الجوية والمستخدمين والجداول وغيرها من البيانات الحرجة
• احتمال مسح قاعدة البيانات بالكامل (عمليات TRUNCATE / DELETE)
• اختراق كامل لنظام الخطوط الجوية الافتراضية

🧪 استخدام الـ PoC

python3 CVE-2026-42569.py http://target.com

مثال على المخرجات (نجاح):

[+] SUCCESS! Endpoint reachable: /importer
[!!] Target is VULNERABLE to CVE-2026-42569
[!!] Database wipe / mass deletion is possible!

🛡️ التخفيف

1. حدّث فورًا إلى phpVMS 7.0.6 أو أحدث.
2. أزل أو قيّد الوصول إلى نقطتي النهاية /importer و /import.
3. احظر الوصول إلى مسارات الاستيراد القديمة في خادم الويب لديك (Nginx/Apache).
4. انسخ قاعدة بياناتك احتياطيًا بانتظام.

🔧 إصلاح مؤقت سريع (Nginx)

location ~* ^/(importer|import) {
    deny all;
    return 403;
}

⚠️ إخلاء مسؤولية

هذا المستودع مخصص لأغراض الاختبار الأمني التعليمي والمصرح به فقط.
المؤلف غير مسؤول عن أي إساءة استخدام أو ضرر ناتج عن هذه الأداة.
الاستغلال غير المصرح به غير قانوني.