عرض توضيحي لتجاوز المسار - دراسة حالة: CVE-2026-14628

عرض توضيحي صغير وقابل للتشغيل لفئة ثغرات تجاوز المسار (CWE-22)، مستخدماً الثغرة المُكشفة مؤخراً CVE-2026-14628 كنقطة مرجعية من العالم الواقعي.

الثغرة الفعلية

تؤثر CVE-2026-14628 على 'NousResearch/hermes-agent' (< 2026.5.16).
تقوم دالة extract_media في gateway/platforms/base.py ببناء مسار نظام ملفات من حمولة webhook الواردة دون التحقق منها، مما يسمح لمهاجم عن بُعد وغير مصادق بقراءة ملفات خارج دليل الوسائط المقصود.

• CVSS 3.1: 5.3 (متوسطة) — AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
• قابلة للاستغلال عن بُعد، ولا تتطلب مصادقة أو تفاعل المستخدم
• يوجد استغلال علني؛ تم إخطار المورّد لكنه لم يستجب

لا يستهدف هذا المستودع قاعدة اكواد hermes-agent الفعلية ولا يستغلها. بدلاً من ذلك، يعيد إنتاج نمط الثغرة بدقة في مثال صغير ومستقل، بحيث يسهل دراسة الخلل وإصلاحه وإعادة استخدامه كمرجع عند مراجعة أي كود آخر.

الملفات

شغّله بنفسك

python3 vulnerable_example.py

يُظهر الناتج "المهاجم" وهو يقرأ بنجاح ملفاً (secret_outside_media_root.txt) يقع خارج دليل media_storage/ المقصود، باستخدام إدخال مثل ../secret_outside_media_root.txt.

python3 secure_example.py

يتم رفض نفس الإدخال الخبيث مع ظهور خطأ واضح PathTraversalError.

الإصلاح، شرح

يتم تطبيق دفاعين متكاملين في secure_example.py:

1. رفض الإدخال المشبوه فوراً — يتم رفض أسماء الملفات التي تحتوي على .. أو فواصل المسارات قبل ملامسة نظام الملفات إطلاقاً (فشل سريع، وخطأ واضح للمستدعين الشرعيين).
2. التحقق من المسار المُحلَّل — بعد بناء المسار الكامل، يتم تحليله إلى مسار مطلق والتأكد من أنه لا يزال يبدأ بدليل الجذر المقصود. هذا هو الدفاع المهم فعلياً: فهو يلتقط أيضاً حيل الروابط الرمزية، وشذوذ الترميز، والحالات الحدية الخاصة بنظام التشغيل التي قد يفوتها فحص بسيط للسلاسل النصية على الإدخال الخام.

candidate_path = os.path.abspath(os.path.join(MEDIA_ROOT, filename))
if not candidate_path.startswith(MEDIA_ROOT + os.sep):
    raise PathTraversalError(...)

لماذا هذا مهم

تجاوز المسار هو واحدة من أكثر فئات الثغرات شيوعاً وتجنباً في البرمجيات التي تتعامل مع رفع الملفات، أو تنزيلها، أو أي اسم ملف يتحكم فيه المستخدم — فمعالجات webhook، ومعالجات الوسائط، وعارضو السجلات، ومحركات القوالب، وواجهات برمجة تطبيقات تقديم الملفات هي أهداف متكررة. الإصلاح رخيص (بضعة أسطر)؛ أما تكلفة تجاهله فهي كشف ملفات تعسفي، وفي الحالات الأسوأ (عند اقترانه بصلاحية الكتابة) تنفيذ كود عن بُعد.

إخلاء مسؤولية

هذا المشروع لأغراض تعليمية فقط. إنه إعادة إنتاج عامة لفئة ثغرات معروفة، وليس استغلالاً عملياً ضد أي برنامج محدد قيد التشغيل أو غير مُحدَّث. لا تستخدم هذه التقنيات ضد أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها.