CVE-2025-52021 — حقن SQL أعمى قائم على الوقت في PuneethReddyHC / نظام التسوق عبر الإنترنت المتقدم (v1.0)

CVE: CVE-2025-52021
العنوان: حقن SQL أعمى قائم على الوقت عبر معامل product_id في edit_product.php
البائع / المستودع: PuneethReddyHC — https://github.com/PuneethReddyHC/online-shopping-system-advanced
الإصدار المتأثر: 1.0 (الفرع/الوسم master وقت الاختبار)
مكتشف الثغرة: Hafiz Pradana Gemilang
حالة الإفصاح: تم إخطار البائع بشكل خاص. تم حجب كود الإثبات الكامل (PoC) عن الإفصاح العام حفاظًا على سلامة المستخدمين.

---

ملخص

تم اكتشاف ثغرة حقن SQL أعمى قائم على الوقت في admin/admin/edit_product.php ضمن نظام التسوق عبر الإنترنت المتقدم الإصدار 1.0. يتم إدراج معامل product_id من نوع GET في استعلام SQL دون تحقق مناسب أو استخدام معاملات مُجهزة (parameterization). يمكن للمهاجم حقن دوال تأخير زمني (مثل SLEEP) لملاحظة تأخيرات استجابة الخادم واستنتاج سلوك قاعدة البيانات، مما يؤكد وجود نقطة حقن SQL عن بُعد.

ملاحظة: يستبعد هذا التقرير عمدًا حمولة استغلال قابلة للتشغيل. تمت مشاركة تفاصيل الإثبات المفاهيمي بشكل خاص مع المطوّر للسماح بالمعالجة.

---

نقطة النهاية المتأثرة (مثال)

/admin/admin/edit_product.php?product_id=<value>

مثال لرابط اختبار محلي:

http://<host>/online-shopping-system-advanced-master/admin/admin/edit_product.php?product_id=0

---

تفاصيل الثغرة

• النوع: حقن SQL (أعمى قائم على الوقت)
• المعامل: product_id (GET)
• الموقع: admin/admin/edit_product.php
• ناقل الهجوم: عن بُعد (رابط مُصمم)؛ لا يتطلب مصادقة إذا كانت نقطة نهاية الإدارة متاحة للجمهور أو يمكن للمهاجم الوصول إليها.
• الشروط المسبقة: يجب أن تقبل نقطة النهاية معامل product_id وتضمينه في جملة SQL دون معالجة مُجهزة.

---

الأدلة (ملخص اختبارات التوقيت)

أسفرت محاولات الحقن القائمة على التوقيت باستخدام دلالات SLEEP() في قاعدة البيانات عن تأخيرات قابلة للقياس من جانب الخادم تتوافق مع حقن ناجح:

• SLEEP(6) → تأخير الاستجابة الملاحظ ≈ 6.01 ثانية
• SLEEP(15) → تأخير الاستجابة الملاحظ ≈ 15.00 ثانية
• SLEEP(0) → تأخير الاستجابة الأساسي ≈ 0.01 ثانية

تشير هذه النتائج إلى وجود نقطة حقن SQL أعمى تسمح بالاستدلال القائم على الوقت. اسم قاعدة البيانات الملاحظ أثناء الاختبار: onlineshop.

---

الأثر

الاستغلال الناجح لهذه الثغرة يسمح للمهاجمين بـ:

• تأكيد وتعداد محتويات قاعدة البيانات عبر تقنيات أعمى/قائمة على الوقت.
• استخراج البيانات (المخطط، أسماء الجداول، الصفوف) باستخدام أدوات آلية (مثل sqlmap) بتقنيات قائمة على الوقت.
• احتمال التصعيد إلى اختراق أكبر اعتمادًا على صلاحيات قاعدة البيانات وسياق التطبيق.

التقدير الخطورة: عالية

---

إعادة الإنتاج (على مستوى عالٍ)

1. أرسل طلبًا مُصممًا إلى معامل product_id يتضمن تركيبات SQL ذات تأخير زمني (تم الاختبار باستخدام متغيرات SLEEP()).
2. لاحظ وقت استجابة الخادم لاستنتاج ما إذا كان التعبير المحقون قد نُفذ.
3. الاختبارات المتكررة بحمولات مختلفة تسمح بالاستخراج الآلي عبر تقنيات قائمة على الوقت.

تم حذف الإثبات المفاهيمي خطوة بخطوة من التقرير العام — تواصل مع المُبلّغ للحصول على الإثبات المشفر بموجب شروط الإفصاح المسؤول.

---

المعالجة الموصى بها

1. استخدم الاستعلامات المُجهزة / البيانات المعدة مسبقًا لجميع الوصول إلى قاعدة البيانات. لا تقم بدمج مدخلات المستخدم في سلاسل SQL.
   • مثال (PHP + PDO):

     $stmt = $pdo->prepare('SELECT * FROM products WHERE id = ?');
     $stmt->execute([$product_id]);
     

2. تحقق من المدخلات وعقّمها: تعامل مع product_id كعدد صحيح وتحقق منه وفقًا لذلك (مثل filter_input(INPUT_GET, 'product_id', FILTER_VALIDATE_INT)).
3. الصلاحيات الأقل: تأكد من أن مستخدم قاعدة البيانات المستخدم من قبل تطبيق الويب لديه صلاحيات دنيا (تجنب DROP وALTER وGRANT أو حقوق إدارية).
4. معالجة الأخطاء: تجنب تسريب أخطاء قاعدة البيانات إلى العميل. استخدم رسائل خطأ عامة وسجّل الأخطاء التفصيلية على جانب الخادم.
5. جدار الحماية للتطبيقات / تحديد المعدل: كإجراء تخفيف مؤقت، نفّذ قواعد جدار الحماية لاكتشاف أنماط حقن SQL الشائعة وفرض حدود معدل لإبطاء محاولات الاستخراج الجماعي.
6. تدقيق نقاط النهاية ذات الصلة: راجع نقاط نهاية الإدارة الأخرى والمعاملات بحثًا عن أنماط حقن مماثلة.

---

أمر sqlmap المقترح

(مُدرج لراحة البائع/المطوّر — لا تنشر حمولات الإثبات علنًا)

sqlmap -u "http://<host>/online-shopping-system-advanced-master/admin/admin/edit_product.php?product_id=0" --dbms=mysql --batch --level=5 --risk=3 --technique=T --time-sec=6

---

المراجع

• OWASP SQL Injection: https://owasp.org/www-community/attacks/SQL_Injection

---

الاتصال / الاعتمادات

مكتشف الثغرة: Hafiz Pradana Gemilang

• البريد الإلكتروني: [email protected]
• GitHub: https://github.com/hafizgemilang/CVE-2025-52021

البائع / المستودع: https://github.com/PuneethReddyHC/online-shopping-system-advanced

---

إخلاء مسؤولية: يحذف هذا التقرير العام الحمولات القابلة للاستغلال لحماية المستخدمين. التفاصيل الفنية الكاملة والإثبات المفاهيمي متاحة للبائع عند الطلب بموجب سياسة إفصاح مسؤولة متفق عليها.