نظرًا لأن النقاط الثلاث تقع في نفس الإصدار من نفس المنتج ومن نفس فئة الثغرات، فقد تم جمعها تحت إشعار واحد ونشرها تحت معرّف CVE واحد. من حيث التأثير، النقطة رقم 1 هي الأشد خطورة.

1. صفحة تسجيل الدخول — معامل devam

هذه هي النقطة الأكثر حرجًا. نقطة الحقن تقع مباشرة في وسم HTML الخاص بنموذج المصادقة نفسه.

يحمل معامل devam العنوان الذي سيعود إليه المستخدم بعد تسجيل الدخول، ويصل مشفرًا بالنظام الست عشري (hex) — القيمة 2f796f7264616d2f تعني /yordam/. يقوم التطبيق بفك ترميز هذه القيمة من النظام الست عشري ويكتبها في وسم افتتاح نموذج الدخول. لا توجد أي عملية تهريب بينهما:

في المخرجات، تظهر رموز < و > وعلامات الاقتباس بشكل خام. الشيء الوحيد الذي يحتجز الحمولة هو أن خاصية data-url محاطة بعلامات اقتباس مفردة. عند إدخال علامة اقتباس مفردة داخل المدخلات، ينتهي الأمر: تُغلق الخاصية، ويُغلق وسم <form>، ويحل HTML الذي كتبه المهاجم محل نموذج المصادقة في الصفحة.

الاستيلاء على إجراء النموذج (form action). لا يتم هنا رسم نموذج مزيف — بل يتم إفراغ نموذج التطبيق الأصلي وإغلاقه، ثم فتح <form> جديد يحمل نفس فئات CSS مباشرة بعده. نظرًا لأن حقول اسم المستخدم وكلمة المرور ورمز التحقق في الصفحة كلها من HTML الأصلي للتطبيق، فإنها تبقى داخل هذا النموذج الجديد. يرى المستخدم النموذج الحقيقي، ويملأ النموذج الحقيقي؛ وتذهب المعلومات التي أدخلها إلى خادم المهاجم. لا يوجد أي فرق يمكن تمييزه بصريًا.

النقطة الحرجة: لا يحدث الحقن في صفحة عشوائية، بل في الصفحة التي يُتوقع فيها بالفعل أن يدخل المستخدم كلمة المرور الخاصة به. في حقن الانعكاس العادي، يحتاج المهاجم إلى إقناع الضحية؛ هنا تقوم واجهة التطبيق نفسها بمهمة الإقناع.

2. خاصية value لحقل النموذج المخفي — فك ترميز URL المزدوج

في صفحة البحث، تُكتب قيم معاملات GET في حقول نموذج مخفية. في هذه النقطة يتم تطبيق التهريب — ولكن بالترتيب الخاطئ.

تُستخدم نفس قيمة q في ثلاثة سياقات منفصلة داخل استجابة واحدة، ولكل سياق عمق مختلف لفك الترميز:

تسلسل العملية كالتالي:

بينما يعمل مرشح الإدخال والتهريب على الطبقة الأولى من فك الترميز، فإن المخرجات تُغذى من الطبقة الثانية. عند مقارنة الحمولة نفسها في حالتي الترميز المفرد والمزدوج، يظهر الفرق بوضوح:

الثغرة ليست خاصة بمعامل q. الكتلة التي تولّد الحقول المخفية تمر على جميع معاملات GET في الطلب؛ وقد تم التحقق منها أيضًا على tip و alan.

3. خاصية name لحقل النموذج المخفي — حقن في اسم المعامل

تولّد الكتلة نفسها البنية التالية لكل معامل GET:

يُطبق التهريب على جانب value فقط. ولا يُطبق إطلاقًا على جانب name. في هذه النقطة لا حاجة حتى للترميز المزدوج — فالترميز المفرد كافٍ، لأنه لا يوجد تهريب أصلاً يمكن تجاوزه.

يُكتب اسم معامل مختلق مباشرة بشكل خام في خاصية name، ويمكن الخروج من الخاصية. نظرًا لأن اسم المعامل تحت سيطرة المهاجم، فلا حاجة لأن يكون معاملًا معروفًا لدى التطبيق.

النقطتان 2 و3 من هذه النقاط الثلاث تنبعان من نفس كتلة الكود، وتتكرر هذه الكتلة في ستة نماذج منفصلة: dilForm و adetForm و siralaForm و tkForm و ekForm و tmForm. أي أن الحقن يحدث ست مرات في طلب واحد.

تم التحقق من ديناميكية الكتلة بمقارنة مخرجات طلبين:

الحقول المُولَّدة لا تأتي من قائمة ثابتة، بل تُشتق مباشرة من المعاملات الموجودة في الطلب. وبالتالي، فإن المحتوى المكتوب في كل من الخاصيتين name و value يخضع لسيطرة المهاجم.

التأثير

كل ما يحتاجه المهاجم هو رابط سيفتحه الضحية. لا يحتاج إلى تسجيل الدخول أو امتلاك حساب.

• سرقة بيانات الاعتماد. من خلال النقطة رقم 1، يتم تحويل هدف action لنموذج الدخول إلى المهاجم. تم التحقق من ذلك.
• محتوى مزيف بهوية المؤسسة. يظهر في شريط العنوان اسم نطاق المؤسسة نفسه وشهادة TLS صالحة. يمكن وضع إعلانات مزيفة، وحملات مزيفة، ونصوص إعلامية مزيفة.
• تلاعب بالمحتوى وإعادة توجيه. يمكن تغيير مظهر الصفحة، ويمكن نقل المستخدم إلى عنوان خارجي.

نظرًا لأن المنصة المتأثرة تحتوي على بيانات اعتماد وبيانات شخصية لأعضاء المكتبة، فمن الممكن الوصول إلى سجلات الأعضاء عبر الحسابات المخترقة.

لماذا لا توقف الحمايات الحالية هذه الثغرات

يستخدم التطبيق CSP مع script-src و object-src قائمين على nonce؛ أي أن XSS الكلاسيكي القائم على السكربت لا يعمل في هذه الصفحات. للوهلة الأولى، يبدو أن هذا يخفض النتيجة إلى مستوى "تلاعب بالمحتوى فقط".

السياسة الكاملة هي:

لا يوجد form-action. ولا يوجد default-src أيضًا — وبالتالي لا يوجد افتراضي يمكن الرجوع إليه للتوجيهات غير المعرّفة. النتيجة: إرسال النموذج عبر POST إلى خادم المهاجم لا يتم منعه بأي شكل من الأشكال من قبل المتصفح.

لا يتطلب سرقة بيانات الاعتماد تشغيل JavaScript. يكفي HTML عادي، وCSP لا يوقف HTML العادي.

نقاط الضعف المرتبطة

الأساسية

• CWE-79 — عدم تحييد المدخلات بشكل صحيح أثناء توليد صفحة الويب ('Cross-site Scripting')

ذات الصلة

• CWE-116 — ترميز أو تهريب المخرجات بشكل غير صحيح
• CWE-174 — فك ترميز مزدوج لنفس البيانات
• CWE-172 — خطأ في الترميز
• CWE-451 — تحريف واجهة المستخدم (UI) للمعلومات الحرجة

في سجل CVE، صُنفت نقطة الضعف الأساسية على أنها CWE-79. على مستوى السبب الجذري، فإن CWE-116 أكثر وصفًا: سبب النقاط الثلاث هو إما عدم تطبيق تهريب المخرجات إطلاقًا أو تطبيقه بالترتيب الخاطئ.

وتجدر الإشارة إلى أنه لا يتم تنفيذ سكربتات في هذا المنتج — فسياسة script-src القائمة على nonce التي يرسلها المنتج نفسه لا تسمح بذلك، ولا يمكن قراءة قيمة nonce عبر النطاقات المختلفة (cross-origin). التأثير الفعلي ليس تنفيذ سكربت، بل حقن HTML والاستيلاء على نموذج الدخول. ولهذا السبب تم أيضًا إجراء مطابقة CAPEC-148 (انتحال المحتوى).

CWE-174 تنطبق تحديدًا على النقطة رقم 2 — فك ترميز نفس البيانات للمرة الثانية بعد التهريب.

الشدة

متوسط — CVSS 3.1 النتيجة الأساسية 6.1 (AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N)

لا يحتاج المهاجم إلى أي صلاحيات؛ وبما أن الضحية يجب أن تفتح الرابط المُجهز، فإن تفاعل المستخدم مطلوب. تم اعتبار النطاق (Scope) متغيرًا (Changed) لأن المحتوى المحقون يُعالج في السياق الأمني للمتصفح.

النقاط الثلاث جميعها تقابل نفس النتيجة. من حيث التأثير، النقطة رقم 1 هي الأشد خطورة: نظرًا لأن الحقن يحدث مباشرة في وسم نموذج المصادقة نفسه، يصبح الاستيلاء على هدف action للنموذج وسرقة بيانات الاعتماد ممكنًا.

الإصدارات المتأثرة

تم التحقق على الإصدار v22.1. الثغرات ليست ناتجة عن خطأ في التكوين خاص بمؤسسة معينة، بل تنبع من مكونات واجهة مشتركة في المنتج؛ فهي تؤثر على جميع التثبيتات في نفس عائلة الإصدارات. يجب على الشركة المصنعة تقييم حالة الإصدارات الأقدم.

نظرًا لأن التثبيتات محلية (on-premise)، فحتى لو نشرت الشركة المصنعة الإصلاح، فإن التثبيتات التي لم تطبق التحديث ستظل متأثرة.

المكوّن المتأثر

تنبع النقطتان 2 و3 من نفس كتلة توليد الحقول المخفية؛ وتتكرر الكتلة في النماذج dilForm و adetForm و siralaForm و tkForm و ekForm و tmForm.

الحل

تم إصلاح الثغرات من قبل الشركة المصنعة. يجب ترقية التطبيق إلى v22.2 أو إصدار أحدث.

سجل CVE

الشركة المصنعة: Yordam Bilgi Teknolojileri Danışmanlık Eğitim ve Elektronik Sistemler Sanayi ve Ticaret A.Ş.

المكتشف

Alkım Coşkun – Netlore Security

الجدول الزمني للإفصاح