CVE-2025-60374

CVE-2025-60374: ثغرة تخزين البرمجة النصية عبر المواقع (XSS) في روبوت دردشة Perfex CRM

⚠️ نشرة أمنية
ثغرة حرجة من نوع تخزين البرمجة النصية عبر المواقع في ميزة روبوت الدردشة في Perfex CRM

📋 نظرة عامة

تسمح ثغرة تخزين البرمجة النصية عبر المواقع (XSS) في مكوّن روبوت الدردشة في Perfex CRM، قبل الإصدار 3.3.1، للمهاجمين بحقن أكواد JavaScript عشوائية عبر رسائل الدردشة. تُخزَّن الحمولة الخبيثة في قاعدة بيانات التطبيق وتُنفَّذ في متصفحات المستخدمين الذين يشاهدون محادثة الدردشة، مما يتيح سرقة رموز الجلسة وتنفيذ إجراءات غير مصرح بها نيابةً عن الضحايا، بالإضافة إلى هجمات أخرى على جانب العميل.

🎯 الإصدارات المتأثرة

• المنتج: Perfex CRM
• المورّد: Perfex CRM
• الإصدارات المتأثرة: < 3.3.1
• الإصدار المُصلَح: 3.3.1+

🔍 تفاصيل الثغرة

الوصف

يفتقر معامل الرسائل في روبوت الدردشة في Perfex CRM إلى تنقية مناسبة للمدخلات وترميز مناسب للمخرجات. عندما يرسل المستخدمون رسائل عبر واجهة روبوت الدردشة، تُخزَّن الحمولات الخبيثة من HTML/JavaScript في قاعدة البيانات دون تصفية كافية، ثم تُعرض دون ترميز هروب مناسب، مما يؤدي إلى تنفيذ كود في متصفحات المستخدمين الآخرين.

السبب الجذري

• ❌ تنقية غير كافية لمدخلات معامل رسائل روبوت الدردشة
• ❌ غياب ترميز المخرجات عند عرض الرسائل المخزنة
• ❌ ملفات تعريف ارتباط الجلسة غير معلَّمة كـ HttpOnly
• ❌ عدم وجود سياسة أمان المحتوى (CSP)

💥 التأثير

الآثار الأمنية

• 🔓 اختطاف الجلسة: يمكن للمهاجمين سرقة رموز الجلسة عبر الوصول إلى document.cookie
• 👤 الاستيلاء على الحساب: اختراق كامل لحسابات الضحايا
• 🎭 تصعيد الامتيازات: اختراق حساب المسؤول إذا شاهد المسؤول رسالة خبيثة
• 📊 تسريب البيانات: الوصول إلى معلومات حساسة في سياق متصفح المستخدم
• 🎪 التصيد الاحتيالي: القدرة على تعديل محتوى الصفحة وإعادة توجيه المستخدمين

تقييم ثالوث CIA

🧪 إثبات المفهوم

إثبات المفهوم 1: XSS أساسي عبر الصور

إثبات المفهوم 2: XSS عبر زر تفاعلي

<button onclick=alert('Click executed!')>Click here</button>

إثبات المفهوم 3: محتوى مضمّن بتشغيل تلقائي

إثبات المفهوم 4: XSS قائم على الأحداث

<meter value=2 min=0 max=10 onmouseover=alert('XSS triggered!')>
2 out of 10
</meter>

سيناريو الهجوم في العالم الحقيقي

مثال على سرقة ملفات تعريف الارتباط:

سترسل هذه الحمولة ملف تعريف ارتباط الجلسة الخاص بالضحية إلى خادم يتحكم فيه المهاجم، مما يتيح الاستيلاء الكامل على الحساب.

🛡️ التخفيف

للمستخدمين النهائيين

1. ✅ الترقية فورًا: التحديث إلى Perfex CRM v3.3.1 أو أحدث
2. 🔍 مراجعة الرسائل: فحص سجل روبوت الدردشة بحثًا عن محتوى HTML/JavaScript مشبوه
3. 🔄 إعادة تعيين الجلسات: إجبار جميع المستخدمين على إعادة المصادقة بعد تطبيق التصحيح
4. 📝 مراقبة السجلات: التحقق من أي نشاط غير معتاد في روبوت الدردشة

للمطورين

إصلاحات فورية

// Input Sanitization Example
$message = htmlspecialchars($input_message, ENT_QUOTES, 'UTF-8');

// Output Encoding Example
echo htmlspecialchars($stored_message, ENT_QUOTES, 'UTF-8');

تحسينات أمنية طويلة المدى

1. سياسة أمان المحتوى (CSP)

Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none';

2. ملفات تعريف الارتباط HttpOnly

setcookie('session', $value, [
    'httponly' => true,
    'secure' => true,
    'samesite' => 'Strict'
]);

3. مكتبة التحقق من المدخلات

// Use DOMPurify, HTML Purifier, or similar
$clean_html = $purifier->purify($dirty_html);

📚 المراجع

• CWE-79: البرمجة النصية عبر المواقع (XSS)
• OWASP ورقة الغش للوقاية من XSS
• الإدخال الرسمي لـ CVE-2025-60374

👤 الاعتمادات

اكتشفه: Ajansha Shankar , Ahamed Yaseen