Electrolink-FM-DAB-TV لـ CVE-2025-51040

ثغرة وصول غير مصرح به في نظام إدارة الويب لمرسل Electrolink FM/DAB/TV في مرسل Electrolink بقدرة 500W و1kW و2kW من نوع Medium DAB (الإصدارات v01.09 وv01.08 وv01.07) ولوحة العرض (الإصدارات v1.4 وv1.2)

الوصف

نظام إدارة الويب لمرسل Electrolink FM/DAB/TV عرضة للوصول غير المصرح به. يمكن للمهاجم الدخول إلى الواجهة الخلفية عبر زيارة /FrameSetCore.html، مما يؤدي إلى وصول إداري غير مصرح به واختراق كامل للنظام.

بائع المنتج(المنتجات)

Electrolink

الصفحة الرئيسية للبائع

https://www.electrolink.com

المنتج(المنتجات) المتأثرة/قاعدة الكود

المنتج: نظام إدارة الويب لمرسل Electrolink FM/DAB/TV

النقطة النهائية الضعيفة

/FrameSetCore.html

نوع الهجوم

صلاحيات غير آمنة

التأثير

يمكن لمهاجم غير موثَّق الوصول إلى ملف /FrameSetCore.html عبر HTTP، مما يهدد أمن النظام وقد يؤدي إلى وصول غير مصرح به.

PoC

/FrameSetCore.html

الإصلاحات المقترحة

1. التحكم في الوصول: تقييد الوصول إلى الملفات الحساسة باستخدام آليات التوثيق.
2. إعادة هيكلة الكود: إزالة بيانات الاعتماد المضمنة (hard-coded) من ملفات JavaScript.
3. إخفاء البيانات: تجنب تخزين المعلومات الحساسة في موارد جانب العميل.
4. مراجعة أمنية: إجراء تدقيق أمني شامل لاكتشاف ثغرات مماثلة.
5. المراقبة والتنبيهات: تطبيق مراقبة وتنبيهات لمحاولات الوصول غير المصرح به.