Skip to content
KitploitKITPLOIT
أدواتعمليات الاستغلالالمدونة
Log in
إرسال
أدواتعمليات الاستغلالالمدونة
إرسال

أدوات الاختراق واختبار الاختراق والأمن السيبراني لترسانتك الأمنية!

Kitploit هو دليل لأدوات الاختراق والأمن السيبراني واختبار الاختراق. اكتشف آخر تحديثات المشاريع للعثور على الثغرات وتحليل الأنظمة وأتمتة الاختبارات وتعزيز أمنك.

الخلاصاتاتصالالخصوصية© 2026 Kitploit

دليل الأدوات

الفئات

عرض جميع الفئات
Loading categories
CVE-2026-26211 — إفصاح عام وإثبات مفهوم لـ CVE-2026-26211، وهي ثغرة XSS مخزنة في Ekushey Project Manager CRM الإصدار 5.0، بما في ذلك التفاصيل الفنية وتحليل الأثر. | Kitploit
أدوات/GitHubGitHub/lindhunt/cve-2026-26211
تحليل الثغرات الأمنيةالاستغلالأمن الويبالأوراق والأبحاثالتعلم والتعليم
GitHublindhunt/cve-2026-26211

CVE-2026-26211

إفصاح عام وإثبات مفهوم لـ CVE-2026-26211، وهي ثغرة XSS مخزنة في Ekushey Project Manager CRM الإصدار 5.0، بما في ذلك التفاصيل الفنية وتحليل الأثر.

عرض المستودع
123منذ شهر واحدلم تتم المراجعة بعد

الأكثر شعبية

عرض الكل →

اكتشف الأدوات الأكثر استخدامًا من قبل مجتمعنا.

استكشف جميع الأدوات

تصفح مجموعتنا من الأدوات

عرض جميع الأدوات →
مشاركة

CVE Badge CWE Badge Severity Status

CVE-2026-26211: XSS مخزّن في Ekushey Project Manager CRM

المنتج: Ekushey Project Manager CRM
الإصدار: 5.0
الثغرة الأمنية: Cross-Site Scripting (XSS) مخزّن
CWE: CWE-79
الباحث: LINDAN TRI SAPUTRA
التقرير الأولي: 1 أغسطس 2026

الملخص

تم تحديد ثغرة Cross-Site Scripting (XSS) مخزّنة في Ekushey Project Manager CRM الإصدار 5.0. توجد المشكلة في إعدادات التطبيق، وتحديدًا في حقل Name. يتم تخزين إدخال HTML الذي يتحكم فيه المستخدم دون تعقيم أو ترميز إخراج مناسبين، مما يؤدي إلى تنفيذ JavaScript عشوائي عند عرض الصفحة.

المكوّن المتأثر

Settings → Name

  • يتم تخزين اسم التطبيق المُهيّأ في قاعدة البيانات.
  • ثم يُعرض لاحقًا في واجهة التطبيق دون تهريب مناسب.
  • أي مستخدم مُصادَق عليه (Admin أو Staff أو Client) يشاهد الاسم المعروض يكون عرضة للثغرة.

إثبات المفهوم (PoC)

  1. سجّل الدخول إلى التطبيق بصفة مسؤول.
  2. انتقل إلى Settings.
  3. حدد حقل Name الخاص بالنظام.
  4. أدخل حمولة اختبار XSS غير ضارة التالية:
  1. احفظ الإعدادات.
  2. افتح أي صفحة يُعرض فيها اسم التطبيق المُهيأ (مثل لوحة التحكم، الترويسة، رسائل البريد الإلكتروني).

يُنفَّذ JavaScript عند عرض القيمة المخزنة.

التأثير

نظرًا لأن الحمولة مخزنة داخل التطبيق، فإن المشكلة تؤثر على جميع المستخدمين وليس فقط المسؤول الذي عدّل الإعداد في البداية. واعتمادًا على المكان الذي يُعرض فيه اسم التطبيق وعلى المستخدمين الذين يمكنهم الوصول إلى تلك الصفحات، فقد تُنفَّذ الحمولة المخزنة في متصفح الموظفين أو العملاء أو غيرهم من المستخدمين المصادَق عليهم.

يشمل التأثير المحتمل ما يلي:

  • تنفيذ JavaScript عشوائي في متصفحات المستخدمين المتأثرين
  • التلاعب بواجهة التطبيق (مثل تشويهها أو عرض إشعارات مزيفة)
  • التصيّد الاحتيالي أو الانتحال داخل أصل التطبيق الموثوق
  • تنفيذ إجراءات ضمن سياق التطبيق المصادَق عليه الخاص بالضحية (اختطاف الجلسة، تجاوز CSRF)

إثبات المفهوم المرئي

يتوفر أدناه عرض مرئي لـ CVE-2026-26211:

PoC Video Thumbnail
انقر على الصورة لمشاهدة إثبات المفهوم على YouTube

رابط مباشر: https://youtu.be/b8gRD9jpvak?si=otEalAgZexiENIfh

الجدول الزمني للإفصاح

التاريخالحدث
1 أغسطس 2026إرسال الثغرة الأمنية إلى VulnCheck
أغسطس 2026تحققت VulnCheck من الإرسال وأكدت استيفاءه لشروط إسناد CVE
أغسطس 2026إسناد CVE-2026-26211
25 أغسطس 2026نشر الإفصاح التقني العام بناءً على طلب VulnCheck

الباحث

LINDAN TRI SAPUTRA
باحث أمني مستقل
GitHub: https://github.com/LindHunt

المراجع

  • CVE-2026-26211: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-26211
  • CWE-79: Improper Neutralization of Input During Web Page Generation (XSS)
    https://cwe.mitre.org/data/definitions/79.html

إخلاء المسؤولية

يُقدَّم هذا التقرير لأغراض تعليمية وتوعوية أمنية فقط. وقد تم الإفصاح عن الثغرة الأمنية المحددة بمسؤولية إلى المورّد أو الجهة التنسيقية المختصة (VulnCheck) قبل النشر العام. ويُعدّ الاستغلال غير المصرح به لهذه الثغرة غير قانوني وغير أخلاقي.

توصيات للمطورين

لمعالجة هذه الثغرة الأمنية:

  • تطبيق ترميز المخرجات المدرك للسياق عند عرض المدخلات التي يتحكم بها المستخدم.
  • تنفيذ تحقق صارم من المدخلات وتنقيتها لجميع حقول الإعدادات.
  • استخدام ترويسات سياسة أمان المحتوى (CSP) للتخفيف من مخاطر XSS.
  • النظر في استخدام HTML Purifier أو مكتبات مشابهة لتصفية المدخلات النصية الغنية.

ابقَ آمنًا، وابقَ يقظًا.

تنزيل الأداة