ثغرة SQLi في تطبيقات TREX-MES (CVE-2026-18782)

نظرة عامة

TREX MES هي منصة تجارية لنظام تنفيذ التصنيع (MES) / الصناعة 4.0 تُستخدم لجمع وإدارة البيانات من أرضية الإنتاج. تقوم واجهة برمجة تطبيقات الويب الخاصة بالتطبيق بتنفيذ المعامل sql القادم من العميل مباشرةً على خادم Microsoft SQL Server في الواجهة الخلفية، وتُعيد مجموعة النتائج بصيغة JSON.

التأثير

يمكن لمستخدم مُصادَق عليه بصلاحيات منخفضة — أو أي مهاجم يحصل على رمز جلسة عبر تجاوز المصادقة الموضح أدناه — القيام بما يلي:

قراءة أو تعديل أو حذف البيانات في جميع قواعد البيانات على نسخة SQL Server. وهذا لا يقتصر على قاعدة بيانات التطبيق نفسها، بل يشمل قواعد بيانات الإنتاج والمالية والموظفين.
الحصول على بيانات اعتماد المستخدمين المخزنة. فكلمات المرور مخزنة دون تجزئة (hashing)، باستخدام إزاحة قائمة على الأحرف وقابلة للعكس بشكل تافه؛ وبالتالي يمكن استرجاع جميع كلمات مرور الحسابات كنص صريح.
تنفيذ أوامر نظام تشغيل عشوائية عبر xp_cmdshell في سياق حساب خدمة SQL Server. في التثبيت الذي تم اختباره، يمتلك هذا الحساب امتياز SeImpersonatePrivilege، مما يتيح الترقية إلى صلاحيات NT AUTHORITY\SYSTEM والسيطرة الكاملة على الخادم، ويوفر نقطة ارتكاز للحركة الجانبية داخل الشبكة الداخلية.

ولأن النظام المتأثر هو منصة تنفيذ تصنيع، فإن إمكانية تعديل سجلات الإنتاج والجودة دون اكتشافها تحمل مخاطر تشغيلية ومخاطر على استمرارية الأعمال تتجاوز التأثير المعتاد لتقنية المعلومات.

نقاط الضعف المرتبطة

يقوم تدفق تسجيل الدخول لنفس واجهة برمجة التطبيقات بتحديد عمود Password وإعادته إلى المتصفح، وتتم مقارنة كلمة المرور على جانب العميل. وعند دمج هذا السلوك مع ثغرة الاستعلام المذكورة أعلاه، يصبح من الممكن حقن سجل اصطناعي يحمل كلمة مرور يحددها المهاجم وراية مدير عبر جملة قائمة على UNION تُرسَل من حقل اسم المستخدم؛ مما يؤدي في النهاية إلى تجاوز كامل للمصادقة دون معرفة أي بيانات اعتماد صالحة. وقد تم التحقق من هذا السلوك في التثبيت الذي تم اختباره.

CWE-89 — عدم تحييد العناصر الخاصة بشكل صحيح في أوامر SQL
CWE-602 — فرض الأمان من جانب الخادم على جانب العميل
CWE-522 — بيانات اعتماد محمية بشكل غير كافٍ
CWE-250 — التنفيذ بصلاحيات زائدة عن الحاجة

الخطورة

حرجة — درجة CVSS 3.1 الأساسية 9.9 (AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)

الإصدارات المتأثرة

trex MES v.6.07.17.00090 وما قبلها

TrexDCAS MES v.6.05.14.00074 وما قبلها

المكوّن المتأثر

/api/GetDataJSON3 و /api/GetDataJSONCrypto3 — منطق معالجة المعامل sql القادم من العميل في طبقة خدمة الويب

إجراءات التخفيف

حتى صدور إصلاح من الشركة المصنّعة، يُنصح المشغّلين بتطبيق ما يلي:

حجب كلا نقطتي النهاية (endpoint) على مستوى الوكيل العكسي (reverse proxy) أو طبقة WAF. فالثغرة معمارية ولا يمكن معالجتها عبر تصفية المدخلات.
تعطيل ميزة xp_cmdshell (sp_configure 'xp_cmdshell', 0) ومراجعة المكوّنات الأخرى القابلة لتنفيذ الأوامر مثل OLE Automation Procedures وتكامل CLR.
إزالة دور sysadmin من حساب قاعدة بيانات التطبيق ومنح الحد الأدنى من الصلاحيات على مستوى الكائنات المطلوبة فقط.
إعادة تعيين كلمات مرور جميع مستخدمي التطبيق؛ إذ يجب اعتبار بيانات الاعتماد المخزنة قابلة للاسترجاع.
تقييد الوصول الشبكي إلى منافذ التطبيق وقاعدة البيانات على الأنظمة التي تحتاج إليها فقط.

يتطلب الحل الدائم أن تنقل الشركة المصنّعة إعداد الاستعلام إلى جانب الخادم باستخدام عبارات مُعاملة (parameterized)، وأن تنفّذ المصادقة على الخادم، وأن تخزّن كلمات المرور باستخدام خوارزمية تجزئة مُملّحة (salted) ذات تكلفة حسابية عالية.

معرّف CVE

CVE-2026-18782

المُكتشِف

Hasan Hüseyin UYAR – Netlore Security

الجدول الزمني للإفصاح

التاريخ	الحدث
2026-07-30	تم اكتشاف الثغرة والتحقق منها أثناء اختبار اختراق مُصرّح به
2026-08-04	تم إسناد المعرّف CVE-2026-18782.
2026-09-30	تم النشر بالمعرّف https://www.cve.org/CVERecord?id=CVE-2026-18782.

الأكثر شعبية

CVE-2026-18782-TREX-MES-Uygulamalarinda-SQL-Zafiyeti