ملاحظة: يستبعد هذا التقرير عمدًا حمولة استغلال قابلة للتشغيل. تمت مشاركة تفاصيل الإثبات المفاهيمي بشكل خاص مع المطوّر للسماح بالمعالجة.

نقطة النهاية المتأثرة (مثال)

مثال لرابط اختبار محلي:

تفاصيل الثغرة

• النوع: حقن SQL (أعمى قائم على الوقت)
• المعامل: product_id (GET)
• الموقع: admin/admin/edit_product.php
• ناقل الهجوم: عن بُعد (رابط مُصمم)؛ لا يتطلب مصادقة إذا كانت نقطة نهاية الإدارة متاحة للجمهور أو يمكن للمهاجم الوصول إليها.
• الشروط المسبقة: يجب أن تقبل نقطة النهاية معامل product_id وتضمينه في جملة SQL دون معالجة مُجهزة.

الأدلة (ملخص اختبارات التوقيت)

أسفرت محاولات الحقن القائمة على التوقيت باستخدام دلالات SLEEP() في قاعدة البيانات عن تأخيرات قابلة للقياس من جانب الخادم تتوافق مع حقن ناجح:

• SLEEP(6) → تأخير الاستجابة الملاحظ ≈ 6.01 ثانية
• SLEEP(15) → تأخير الاستجابة الملاحظ ≈ 15.00 ثانية
• SLEEP(0) → تأخير الاستجابة الأساسي ≈ 0.01 ثانية

تشير هذه النتائج إلى وجود نقطة حقن SQL أعمى تسمح بالاستدلال القائم على الوقت. اسم قاعدة البيانات الملاحظ أثناء الاختبار: onlineshop.

الأثر

الاستغلال الناجح لهذه الثغرة يسمح للمهاجمين بـ:

• تأكيد وتعداد محتويات قاعدة البيانات عبر تقنيات أعمى/قائمة على الوقت.
• استخراج البيانات (المخطط، أسماء الجداول، الصفوف) باستخدام أدوات آلية (مثل sqlmap) بتقنيات قائمة على الوقت.
• احتمال التصعيد إلى اختراق أكبر اعتمادًا على صلاحيات قاعدة البيانات وسياق التطبيق.

التقدير الخطورة: عالية

إعادة الإنتاج (على مستوى عالٍ)

1. أرسل طلبًا مُصممًا إلى معامل product_id يتضمن تركيبات SQL ذات تأخير زمني (تم الاختبار باستخدام متغيرات SLEEP()).
2. لاحظ وقت استجابة الخادم لاستنتاج ما إذا كان التعبير المحقون قد نُفذ.
3. الاختبارات المتكررة بحمولات مختلفة تسمح بالاستخراج الآلي عبر تقنيات قائمة على الوقت.

تم حذف الإثبات المفاهيمي خطوة بخطوة من التقرير العام — تواصل مع المُبلّغ للحصول على الإثبات المشفر بموجب شروط الإفصاح المسؤول.

المعالجة الموصى بها

1. استخدم الاستعلامات المُجهزة / البيانات المعدة مسبقًا لجميع الوصول إلى قاعدة البيانات. لا تقم بدمج مدخلات المستخدم في سلاسل SQL.
   • مثال (PHP + PDO):
     root@kitploit:~

     $stmt = $pdo->prepare('SELECT * FROM products WHERE id = ?');
     $stmt->execute([$product_id]);
     

2. تحقق من المدخلات وعقّمها: تعامل مع product_id كعدد صحيح وتحقق منه وفقًا لذلك (مثل filter_input(INPUT_GET, 'product_id', FILTER_VALIDATE_INT)).
3. الصلاحيات الأقل: تأكد من أن مستخدم قاعدة البيانات المستخدم من قبل تطبيق الويب لديه صلاحيات دنيا (تجنب DROP وALTER وGRANT أو حقوق إدارية).
4. معالجة الأخطاء: تجنب تسريب أخطاء قاعدة البيانات إلى العميل. استخدم رسائل خطأ عامة وسجّل الأخطاء التفصيلية على جانب الخادم.
5. جدار الحماية للتطبيقات / تحديد المعدل: كإجراء تخفيف مؤقت، نفّذ قواعد جدار الحماية لاكتشاف أنماط حقن SQL الشائعة وفرض حدود معدل لإبطاء محاولات الاستخراج الجماعي.
6. تدقيق نقاط النهاية ذات الصلة: راجع نقاط نهاية الإدارة الأخرى والمعاملات بحثًا عن أنماط حقن مماثلة.

أمر sqlmap المقترح

(مُدرج لراحة البائع/المطوّر — لا تنشر حمولات الإثبات علنًا)

المراجع

• OWASP SQL Injection: https://owasp.org/www-community/attacks/SQL_Injection

الاتصال / الاعتمادات

مكتشف الثغرة: Hafiz Pradana Gemilang

• البريد الإلكتروني: [email protected]
• GitHub: https://github.com/hafizgemilang/CVE-2025-52021

البائع / المستودع: https://github.com/PuneethReddyHC/online-shopping-system-advanced

إخلاء مسؤولية: يحذف هذا التقرير العام الحمولات القابلة للاستغلال لحماية المستخدمين. التفاصيل الفنية الكاملة والإثبات المفاهيمي متاحة للبائع عند الطلب بموجب سياسة إفصاح مسؤولة متفق عليها.