xmyronn/cve-2026-6201-idorإثبات مفهوم يوضح ثغرة IDOR في بوابة الوظائف عبر الإنترنت CodeAstro Online Job Portal، والتي تسمح لأصحاب العمل المصادق عليهم بحذف أي إعلانات وظائف بشكل تعسفي عبر معالجة معامل id.
يفشل مشروع بوابة الوظائف عبر الإنترنت بلغة PHP وMySQL الذي طورته CodeAstro في التحقق مما إذا كان المستخدم الموثّق يملك إعلان الوظيفة قبل معالجة طلب الحذف. من خلال تغيير معامل id في طلب GET، يمكن للمهاجم حذف إعلانات الوظائف التي تخص أصحاب عمل آخرين.
id إلى معرف وظيفة صاحب العمل أالخطوة 1:- GET /online-job-portal-php-mysql/jobs/job-delete.php?id=[victim_job_id] HTTP/1.1 Host: target Cookie: [attacker_session_cookie]
من المستخدم أ سنقوم بإنشاء إعلان وظيفة جديد وسنلاحظ المعرف هنا وهو 41
الخطوة 2:-
من المستخدم ب سنقوم بحذف إعلان وظيفته ولكن سنعترضه باستخدام burp
كما نرى فإن معرف إعلان وظيفة المستخدم ب هو 39
الخطوة 3:-
يمكننا تغيير معرف إعلان الوظيفة من 39 إلى 41 وحذف إعلان وظيفة المستخدم أ باستخدام حساب المستخدم ب
في هذه الصورة يمكننا أن نرى أن معرف إعلان الوظيفة قد تم تغييره من 39 إلى 41
ثم يمكننا أن نرى أنه تم حذفه بنجاح
الخطوة 4:-
إذا ذهبنا إلى حساب المستخدم أ وبحثنا عن نقطة نهاية postedJobs يمكننا أن نرى أن إعلان الوظيفة قد تم حذفه
HTTP/1.1 302 Found Location: /online-job-portal-php-mysql/users/postedjobs.php?msg=deleted
يمكن لأي صاحب عمل موثّق حذف إعلانات الوظائف الخاصة بأصحاب عمل آخرين على المنصة بشكل دائم، مما يتسبب في فقدان البيانات وتعطيل الخدمة.