cve-images — صور مختبر معرضة للخطر عمدًا

مجموعة من صور Docker معرضة للخطر عمدًا لدراسة الأمان في مختبر معزول. بدأت كإعادة إنتاج لثغرات nginx وتنمو لتصبح مجموعة أوسع من الصور المصممة لتكون ضعيفة (مثل DVWA).

⚠️ الأمان

هذه الصور معرضة للخطر عن قصد. إحدى ثغرات nginx (CVE-2026-42945) يتم استغلالها في البرية. قم بتشغيلها فقط على شبكة معزولة/محلية. لا تنشر أبدًا على مضيف عام، ولا تنشرها أبدًا كما لو كانت صور إنتاجية. تحمل كل صورة lab.vulnerable=true ووصفًا يوضح ذلك.

صور ثغرات nginx

جميعها مبنية على قاعدة مشتركة تبني nginx 1.30.0 من المصدر — آخر إصدار تأثر بهذه الثغرات (تم إصلاحها في 1.30.1 / 1.31.0).

صور التطبيقات

يحتوي كل مجلد على README.md خاص به مع التفاصيل والمراجع.

بناء محليًا

يجب بناء قاعدة nginx أولاً (صور الثغرات تستند إليها عبر FROM):

docker build -t rwils83/nginx-vuln-base:1.30.0 ./base
docker build -t rwils83/cve-2026-42945:1.30.0 ./cve-2026-42945-rewrite-lab
docker build -t rwils83/cve-2026-42946:1.30.0 ./cve-2026-42946-scgi-uwsgi-lab
docker build -t rwils83/cve-2026-40701:1.30.0 ./cve-2026-40701-resolver-lab
docker build -t rwils83/cve-2026-42934:1.30.0 ./cve-2026-42934-charset-lab
docker build -t rwils83/dvwa_with_curl:latest ./dvwa-curl-lab

يقوم ./build_all.sh ببناء مجموعة nginx (القاعدة + 4 صور ثغرات).

الإصدارات (GitHub Actions → Docker Hub)

تبني CI كل صورة *-lab/ عند كل طلب سحب/دفع (بناء فقط، لا دفع) لاكتشاف الأعطال قبل الدمج. النشر يتم بواسطة علامات git:

git tag v1.30.0-lab.2 && git push --tags    # release the nginx images
git tag dvwa-v1        && git push --tags    # release DVWA

يتطلب النشر وجود أسرار المستودع DOCKERHUB_USERNAME و DOCKERHUB_TOKEN.