tansique-17/cve-2025-61456إفصاح عام وإثبات مفهوم لثغرة XSS المنعكسة (CVE-2025-61456) في مشروع تجارة إلكترونية، بما في ذلك التفاصيل التقنية، ودرجة CVSS، وإرشادات المعالجة.
تاريخ الإفصاح: 14 أكتوبر 2025
معرف CVE: CVE-2025-61456
الخطورة: متوسطة (CVSS 6.1)
توجد ثغرة من نوع Cross-Site Scripting (XSS) المنعكسة في E-commerce Project v1.0، وتحديدًا داخل نقطة النهاية index.php. يتم عكس الإدخال غير المُنقّى في معامل مسار URL مباشرةً في استجابة HTML، مما يسمح للمهاجمين بتنفيذ JavaScript عشوائي في متصفح المستخدم الذي يزور رابطًا ضارًا أو يرسل طلبًا مُصممًا بعناية.
تم تخصيص المعرّف CVE-2025-61456 لهذه المشكلة. في وقت الإفصاح، لم يتم إصدار أي تصحيح من قِبل البائع.
index.phphttp://localhost/e-commerce-main/index.phpيفشل الخادم في تنقية معامل مسار URL بشكل صحيح في index.php قبل عكسه في استجابة HTML. وهذا يسمح للمهاجمين بحقن حمولات JavaScript عبر مسار URL، مما يؤدي إلى تنفيذ كود من جانب العميل.
يقوم المهاجم بصياغة إدخال يحتوي على محتوى نصي مضمّن يشبه السكربت وإرساله إلى نقطة النهاية GET المعرضة للخطر. نظرًا لأن الخادم يعكس الإدخال في استجابة HTML دون تطبيق ترميز HTML/سمات/JS مناسب، يعامل المتصفح المحتوى المنعكس كعلامات قابلة للتنفيذ ويقوم بتشغيلها. هذا سيناريو XSS منعكس (غير مستمر)؛ يجب على المهاجم إقناع الضحية بتنفيذ الطلب أو زيارة رابط/نموذج مُصمم خصيصًا.
$path = $_SERVER['PATH_INFO'];
echo "<div>Path: $path</div>";
| معرف CWE | العنوان |
|---|---|
| CWE-79 | تحييد غير صحيح للإدخال أثناء توليد صفحة الويب ('Cross-site Scripting') |
| الدرجة | الخطورة | سلسلة المتجه |
|---|---|---|
| 6.1 | متوسطة | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
قد يؤدي الاستغلال الناجح إلى:
git clone https://github.com/Bhabishya-123/E-commerce.git
استخدم XAMPP/LAMP لنشر المشروع والوصول إلى التطبيق.
GET /e-commerce-main/index.php/fmfct"><script>alert(1)</script>xfniu?id=unknown HTTP/1.1
Host: localhost
fmfct"><script>alert(1)</script>xfniu
الشرح:
الحمولة "><script>alert(1)</script> تخرج من سياق HTML وتحقن تنبيه JavaScript. عندما ينقر الضحية على رابط ضار يحتوي على هذه الحمولة، يتم تنفيذ JavaScript في متصفحه.
إذا كانت الثغرة موجودة، سيقوم المتصفح بتنفيذ كود JavaScript، مع عرض مربع تنبيه بالقيمة 1.
htmlspecialchars() أو ما يعادله لترميز جميع المخرجات غير الموثوقة قبل عرضها في HTML.$path = htmlspecialchars($_SERVER['PATH_INFO'], ENT_QUOTES, 'UTF-8');
echo "<div>Path: $path</div>";
Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none'
| الحدث | التاريخ |
|---|---|
| اكتشاف الثغرة | 16 سبتمبر 2025 |
| الإفصاح العام | 13 أكتوبر 2025 |
| التصحيح المتاح | ❌ غير متاح وقت الإفصاح |
تم اكتشاف هذه الثغرة والإفصاح عنها بواسطة:
Tansique Dasari
🔗 GitHub
✉️ [email protected]
💬 تم نشر هذا التقرير بشكل مستقل نظرًا لغياب تصحيح رسمي من البائع.