تقرير أمن سيبراني بأسلوب استشاري
تقرير احترافي لتقييم ثغرة البرمجة النصية عبر المواقع (XSS) المخزنة في osTicket، بما في ذلك تأثير الأعمال والمعالجة واستراتيجية التخفيف.

📍 لمحة سريعة عن التقرير

الحقل	التفاصيل
نوع التقرير	تقرير تقييم الثغرات
سياق المهمة	بحث أمني
التركيز الأساسي	أمن تطبيقات الويب
الجمهور	فرق الأمان، فرق الهندسة، مدراء التوظيف
أسلوب المخرجات	ملخص تنفيذي، تحليل تقني، تأثير على الأعمال، خارطة طريق للمعالجة
حالة النشر	منقّح للمراجعة العامة ضمن المحفظة المهنية

[!IMPORTANT] تم تنقيح هذا التقرير عمداً للنشر العام على GitHub. تم استبدال المعرفات الحساسة وبيانات الاعتماد وقيم البنية التحتية والأدلة الخاصة بالعملاء ببدائل واضحة.

[!TIP] للمراجعة السريعة، ابدأ بقسمي الملخص التنفيذي والتأثير. وللتعمق التقني، تابع إلى التحليل التقني والمعالجة.

🏷️ العنوان

CVE-2026-36214 - ثغرة XSS مخزنة في osTicket عبر Bootstrap Tooltip

🧾 الملخص التنفيذي

ثغرة أمنية من نوع Cross-Site Scripting (XSS) مخزنة في نظام إدارة التذاكر osTicket (الإصدارات 1.10 حتى 1.17.7 و 1.18.0 حتى 1.18.3)، تنشأ من استخدام مكون Bootstrap Tooltip 3.3.4 المعروف بثغرة CVE-2019-8331.

تسمح هذه الثغرة لمستخدم عادي (غير مُصادق عند إنشاء التذكرة) بحقن كود JavaScript ضار في رسالة التذكرة. عند عرض هذه الرسالة من قبل وكيل (Agent) أو مسؤول (Admin)، يتم تنفيذ الكود في سياق جلستهم، مما يسمح بسرقة الجلسة والتحكم الكامل بنظام التذاكر.

الخاصية	القيمة
المعرف	CVE-2026-36214
CVSS / الخطورة	8.7
فئة الثغرة	CWE-79**: Improper Neutralization of Input During Web Page Generation
النطاق المتأثر	v1.10 - v1.17.7, v1.18.0 - v1.18.3

🔬 التحليل التقني

تم تقييم الثغرة من منظور أمن التطبيقات ومخاطر البنية التحتية. تُصنف المشكلة الأساسية على أنها Stored XSS وتم توثيقها بصيغة منقحة مناسبة للنشر العام ضمن المحفظة المهنية.

osTicket هو نظام تذاكر مفتوح المصدر يستخدم على نطاق واسع في المؤسسات. يسمح للمستخدمين برفع محتوى HTML وملفات مرفقة ضمن التذاكر.

📊 التأثير

تنفيذ سكربت يتحكم به المهاجم في جلسات المستخدمين الموثوقين.
إساءة استخدام الجلسات، وتنفيذ إجراءات غير مصرح بها، والتعرض لضرر السمعة في بوابات العملاء.

🛠️ المعالجة

🧠 الدروس المستفادة واستراتيجية التخفيف

تعامل مع كل حدود التكامل على أنها غير موثوقة، خاصة عندما يمرر منطق التطبيق قيماً يتحكم بها المستخدم إلى أنظمة الملفات أو الأوامر (shells) أو المحللات (parsers) أو الأدوات الخارجية.
يجب أن تتحقق مراجعات الأمان من سلسلة الاستغلال الكاملة، وليس فقط نقطة النهاية الأولى القابلة للاستغلال؛ فالأخطاء في الإعدادات منخفضة الخطورة قد تصبح حرجة عند تسلسلها مع غيرها.
يجب أن تصف الوثائق الموجهة للجمهور المخاطر والسبب الجذري والمعالجة دون كشف المعرفات التشغيلية أو بيانات الاعتماد أو أدوات الاستغلال القابلة لإعادة الاستخدام.
يجب أن تجمع الضوابط الدفاعية بين التحقق الوقائي والامتياز الأدنى وقت التشغيل والقياس عن بُعد (telemetry) وحوكمة التحديثات لتقليل قابلية الاستغلال ونطاق الانفجار معاً.

🧼 ملاحظات تنقيح النشر

تم استبدال معرفات البنية التحتية الحساسة وعناوين IP وأسماء المضيفين وبيانات الاعتماد والتجزئات (hashes) وعناوين البريد الإلكتروني ببدائل صريحة.
تم تقليل الأدلة التشغيلية القابلة لإعادة الاستخدام أو تجريدها للحفاظ على ملاءمة الوثيقة للنشر العام على GitHub.
تستخدم الوثيقة بنية بأسلوب استشاري متوافقة مع الممارسات الشائعة في تقارير اختبار أمن الويب، مثل توقعات إعداد التقارير في OWASP WSTG.

أُعدّ كتقرير احترافي ضمن محفظة الأمن السيبراني
يركز على التواصل الواضح للمخاطر والمعالجة العملية وتحسين الدفاعات.

CVE	CVE-2026-36214
CVSS	8.7 (عالية)
النوع	Stored Cross-Site Scripting (XSS)
المنتج	osTicket
الإصدارات المتأثرة	v1.10 - v1.17.7, v1.18.0 - v1.18.3
المكون الضعيف	Bootstrap Tooltip 3.3.4 (CVE-2019-8331)
الصلاحية المطلوبة	بدون مصادقة (افتراضياً)
التأثير	استيلاء كامل على جلسات الوكلاء والمسؤولين

تحديث osTicket	🟢 فوري	الترقية إلى 1.17.8 أو 1.18.4
تحديث Bootstrap	🟢 فوري	تحديث Bootstrap إلى 3.4.1+
تقييد رفع الملفات	🟡 مهم	منع رفع ملفات JavaScript في إعدادات Admin Panel
تشديد CSP	🟡 مهم	إضافة `script-src 'nonce-...'` لسياسة الأمان
تدقيق التذاكر القديمة	🟡 مهم	مراجعة التذاكر بحثاً عن حمولات XSS

osticket-stored-xss-security-assessment

الأكثر شعبية