كل الثغرات
حرجCVE-2026-45262

ثغرة حقن SQL مصدقة في واجهة برمجة تطبيقات REST في FacturaScripts

59
درجة الخطر
9.9
CVSS
—
EPSS
CWE-89
التصنيف

الوصف

تسمح ثغرة في معالجة معاملات المرشح في واجهة برمجة التطبيقات باستخدام الأقواس بتجاوز آليات الحماية مما يؤدي إلى حقن SQL وسرقة بيانات حساسة.

تحليل الذكاء الاصطناعي

مُولّد آلياً

ثغرة حقن SQL في واجهة REST API لـ FacturaScripts تسمح باستخراج البيانات الحساسة عبر استغلال معاملات الفلترة.

ما الذي حدث؟

اكتشفت ثغرة في معالجة معاملات الفلترة في واجهة REST API الخاصة بـ FacturaScripts تسمح للمهاجمين بتجاوز آليات الحماية باستخدام الأقواس، مما يؤدي إلى تنفيذ أوامر SQL وسرقة البيانات الحساسة.

الجهات والأنظمة المتأثّرة

تؤثر الثغرة على جميع النسخ المتأثرة من FacturaScripts التي تستخدم واجهة REST API مع فلترة البيانات، خاصة في البيئات التي تسمح بالوصول إلى واجهة API دون حماية إضافية.

مسار الهجوم

الفريق الأحمر مقابل الأزرق

الفريق الأحمر — الهجوم

  1. استطلاع: مسح نقاط النهاية في واجهة REST API وتحديد نقاط الضعف في فلترة البارامترات.
  2. استغلال: إرسال طلبات HTTP مع بارامترات معدلة باستخدام الأقواس لتجاوز الحماية وتنفيذ أوامر SQL.
  3. ترسيخ: استخراج بيانات حساسة من قاعدة البيانات وتثبيت الوصول للحصول على صلاحيات المسؤول.

الفريق الأزرق — الدفاع

  1. كشف: مراقبة سجلات الوصول إلى واجهة REST API للبحث عن طلبات غير طبيعية تحتوي على أقواس.
  2. احتواء: تقييد الوصول إلى واجهة REST API وتطبيق قواعد WAF لمنع الاستغلال.
  3. معالجة: تطبيق التحديثات الأمنية وتعديل فلترة البارامترات لمنع استخدام الأقواس.

المخاطر

  • سرقة البيانات الحساسة مثل معلومات العملاء والفواتير
  • تنفيذ أوامر SQL على قاعدة البيانات
  • الحصول على صلاحيات المسؤول عبر استغلال الثغرة
  • تدمير أو تعطيل أنظمة قاعدة البيانات

الخطوات الموصى بها

  1. 1تطبيق التحديثات الأمنية فوراً من المطور
  2. 2تقييم الوصول إلى واجهة REST API وتقييده
  3. 3مراجعة سجلات الوصول للأنشطة المشبوهة
  4. 4تنفيذ تدابير الحماية الإضافية مثل WAF
  5. 5إجراء تدقيق أمني شامل للنظام

ربط الامتثال والضوابط

ساما — إطار الأمن السيبراني

إجراء مطلوب
3.3.13إدارة الثغرات

الثغرة تمثل خطراً كبيراً على أمن التطبيقات

تطبيق التحديثات فوراً وتقييد الوصول

3.3.14مراقبة الأحداث

الكشف المبكر عن محاولات الاستغلال

مراقبة سجلات الوصول إلى واجهة API

NIST CSF 2.0

إجراء مطلوب
ID.RA-01تحديد الثغرات

الكشف عن الثغرات قبل استغلالها

إجراء مسح أمني شامل للتطبيقات

PR.PS-02إدارة التحديثات

تقليل وقت التعرض للثغرة

تطبيق التحديثات فور صدورها

CIS Controls v8

إجراء مطلوب
Control 7إدارة الثغرات المستمرة

منع استغلال الثغرات المعروفة

تقييم وتصحيح الثغرات فوراً

Control 8سجلّات التدقيق

الكشف عن الاستغلال المحتمل

تفعيل تسجيل جميع الوصول إلى API

مُولّد بالذكاء الاصطناعي — تحقّق من المصادر الرسمية قبل اتخاذ إجراء.

المعالجة الموصى بها

حدّث المنتج المتأثّر إلى أحدث إصدار مُصحَّح من المورّد، وراجع المصادر الرسمية أدناه للحصول على المعالجة الدقيقة.

المصادر والمراجع الرسمية

https://github.com/NeoRazorX/facturascripts/security/advisories/GHSA-5qmh-x653-g8qj https://github.com/advisories/GHSA-5qmh-x653-g8qj NVD — CVE-2026-45262

نُشرت: 2026-07-14

CVE-2026-45262 — ثغرة حقن SQL مصدقة في واجهة برمجة تطبيقات REST في FacturaScripts — منصة الرصد السيبراني