cloudfuturesec/cve-disclosuresإفصاحات علنية عن ثغرات أمنية — CVE-2026-78829 / 78830 / 78831 / 78832
إفصاحات تقنية عامة وخطوات إعادة إنتاج إثبات المفهوم لأربع ثغرات تم تعيين معرّفات CVE لها من قِبل برنامج MITRE CVE (تم تسجيل طلب CVE في 2026-06-20).
| معرّف CVE | المنتج | الثغرة | CWE | CVSS 3.1 | المصادقة مطلوبة |
|---|---|---|---|---|---|
| CVE-2026-78829 | Dromara MaxKey 4.x | XSS انعكاسي عبر redirect_uri في تدفق OAuth ← سرقة جلسة المسؤول/JWT | CWE-79 | 8.2 عالية | لا (رابط مُصمَّم) |
| CVE-2026-78830 | mingSoft MCMS 6.1.1 | XSS مخزَّن عبر /file/upload دون مصادقة | CWE-79 | 6.1 متوسطة | لا |
| CVE-2026-78831 | OpenAuth.Net ≤ 8.3.4 | تغيير كلمة مرور أي مستخدم بشكل تعسفي دون مصادقة عبر /api/dynamic/Invoke | CWE-306 | 9.1 حرجة | لا |
| CVE-2026-78832 | OpenAuth.Net ≤ 8.3.4 | إفصاح عن معلومات حساسة دون مصادقة عبر /api/dynamic/GetList | CWE-200 | 8.6 عالية | لا |
يحتوي كل مجلد على:
README.md — إشعار كامل: وصف CVE الرسمي، تحليل السبب الجذري، إعادة الإنتاج خطوة بخطوة (أزواج طلب/استجابة HTTP وأوامر curl أحادية السطر)، التأثير، المعالجة، المراجع، والجدول الزمني.CVE-2026-XXXXX.json — سجل الثغرة بصيغة CVE JSON 5، مطابق للبنية المستخدمة في مستودع cvelistV5 الرسمي، أعدّه المُبلِّغ للرجوع إليه.تشترك CVE-2026-78831 وCVE-2026-78832 في نفس السبب الجذري — إذ لا تُجري واجهة Dynamic API (/api/dynamic/*) أي مصادقة/تفويض — ويمكن دمجهما في سلسلة استيلاء كاملة دون مصادقة:
GetList (CVE-2026-78832) جدول SysUser ← جميع بيانات الاعتماد بنص صريح؛Invoke (CVE-2026-78831) كلمة مرور المسؤول (أو ببساطة تسجيل الدخول بكلمة المرور المُفرَّغة)؛/api/Files/Upload غير المقيَّدة وغير المُصادَقة (أُبلغ عنها بشكل منفصل، ولم يُعيَّن لها معرّف CVE بعد) رفع ملفات تعسفي مع احتمالية WebShell/RCE.خلال البحث نفسه، تم تحديد مشكلتين إضافيتين دون مصادقة في OpenAuth.Net لكنهما لم تحصلا على معرّفات CVE في التعيين الحالي:
/api/dynamic/Delete (CWE-285، بما في ذلك حذف سجل التدقيق لمكافحة التحقيق الجنائي) — متوسطة؛/api/Files/Upload (CWE-434، احتمالية RCE) — حرجة.هاتان موثَّقتان في تقرير البحث المحلي وقد تُقدَّمان إلى برنامج CVE بشكل منفصل.
أُجريت جميع عمليات إعادة الإنتاج في بيئات مختبرية مُتحكَّم بها ضد نسخ اختبار مملوكة بشكل خاص أو أهداف مُصرَّح بها. القيم الحساسة في الاستجابات المُلتقطة (كلمات المرور، الرموز، الأسرار) محجوبة في هذه التقارير. تُنشَر هذه الإفصاحات لأغراض دفاعية فقط — لمساعدة مستخدمي المنتجات المتأثرة على تقييم المخاطر والتخفيف منها.
| التاريخ | الحدث |
|---|---|
| 2026-06-20 | تسجيل طلب CVE لدى برنامج MITRE CVE |
| 2026-06-24 | اكتمال التحقق المختبري لـ OpenAuth.Net |
| 2026-06 | تعيين CVE-2026-78829 ~ CVE-2026-78832 من قِبل MITRE |
| 2026-10-30 | الإفصاح التقني العام على GitHub |
اكتُشفت وأُبلغ عنها بواسطة CloudFutureSec (@CloudFutureSec).