ثغرات في AdminNeo تُعرّض جلسات قواعد البيانات للاختطاف وتزوير الطلبات

رصد باحثون في الأمن السيبراني ثغرتين منفصلتين في AdminNeo، وهي أداة مفتوحة المصدر لإدارة قواعد البيانات، تُعرّضان عمليات التثبيت لاختطاف الجلسات وتنفيذ الأوامر غير المصرح بها. ووفقاً لسجلات أمنية نشرتها خدمة مراقبة الثغرات VulDB، تؤثر الثغرات على إصدارات AdminNeo حتى 5.5.0 ضمناً. وتنشأ كلتا الثغرتين داخل الشيفرة المساعدة التأسيسية للبرمجية، وتستهدفان تحديداً تتبع حالة المصادقة والتحقق من المعاملات. وتُسلّط القضيتان، المسجلتان بالمعرفين الرسميين CVE-2026-96631 وCVE-2026-96629، الضوء على تحديات هيكلية متكررة داخل برمجيات الإدارة القائمة على الويب التي تتعامل مع اتصالات ذات امتيازات بقواعد البيانات.

## حقائق رئيسية

- نشرت قاعدة بيانات الثغرات المستقلة VulDB سجلات لثغرتين منفصلتين في AdminNeo في 31 أكتوبر 2026. - الثغرة الأولى، المصنفة تحت المعرّف CVE-2026-96631، هي ثغرة تثبيت جلسة مرتبطة بالتعامل مع ملفات تعريف الارتباط داخل الملف الأساسي functions.inc.php. - العيب الثاني، المصنف تحت المعرّف CVE-2026-96629، هو مشكلة تزوير الطلبات عبر المواقع تكمن في الروتين verify_token داخل functions.inc.php. - تأكد تأثير كلتا الثغرتين على البرمجية عبر الإصدارات حتى الإصدار 5.5.0. - يعمل التطبيق المستهدف كطبقة إدارة قائمة على الويب لقواعد البيانات العلائقية بما في ذلك MySQL وPostgreSQL وSQLite وMariaDB.

## ما حدث

تُشير سجلات الإفصاح العام التي فهرسها VulDB إلى أن باحثين أمنيين قيّموا آليات التحقق من الجلسات الداخلية في AdminNeo وكشفوا عن عيبين منفصلين في التنفيذ داخل ملف الدوال الأساسي، functions.inc.php.

وتتعلق المشكلة الأولى الموثقة، والمفهرسة برمز CVE-2026-96631، بالإدارة غير السليمة لحالة الجلسة عبر ملفات تعريف ارتباط المتصفح. ففي معماريات أمان الويب القياسية، يجب على التطبيق إعادة إنشاء معرّف الجلسة عند أي تغيير في مستوى الامتيازات—خاصة عندما ينجح زائر مجهول في تسجيل دخوله كمستخدم إداري. وعندما يفشل التطبيق في إبطال رموز الجلسات أو إعادة إصدارها عبر حدود المصادقة، تنشأ حالة تُعرف باسم تثبيت الجلسة (session fixation). وفي AdminNeo، تسمح إجراءات التعامل مع ملفات تعريف الارتباط داخل functions.inc.php باستمرار معرّفات الجلسات، مما يُمكّن طرفاً غير مصرح له من التحديد المسبق لمعرّف جلسة نشطة أو الحفاظ على التحكم فيه بمجرد تسجيل مستخدم شرعي للدخول.

أما المشكلة الثانية، المسجلة برمز CVE-2026-96629، فتنتهك مباشرةً موثوقية المعاملات عبر واجهة الأداة. وتقع الثغرة في المكوّن verify_token في functions.inc.php، وهي الدالة المسؤولة عن التحقق من رموز الحماية من تزوير الطلبات عبر المواقع (CSRF). وتعتمد الحماية من CSRF على توليد رموز يصعب التنبؤ بها وتخص كل مستخدم على حدة لتصاحب الطلبات الإدارية التي تُحدث تغييراً في الحالة، مثل تعديل إعدادات التكوين، أو تنفيذ استعلامات قواعد البيانات، أو حذف الجداول. وتتيح الثغرات الموجودة في روتين التحقق من الرموز للطلبات المُصاغة من أطراف ثالثة خارجية تجاوز التحقق، مما يخدع التطبيق لمعالجة أوامر عشوائية نيابة عن مشغّل مصادق عليه.

ووفقاً لـ VulDB، تُحدد الإفصاحات أن إصدارات البرمجية حتى 5.5.0 تحتوي على هذا المنطق المعيب. ورغم أن المنهجية الدقيقة المستخدمة لاكتشاف نقاط الضعف لم تُفصَّل في التنبيهات الأولية الموجزة، فإن تحديد أسماء دوال دقيقة يشير إلى تحليل الشيفرة المصدرية أو اختبار العشوائية الموجّه ضد خطوط معالجة الطلبات الأساسية في التطبيق.

## أهمية الأمر

تحتل أدوات إدارة قواعد البيانات القائمة على الويب مكانة بالغة الحساسية داخل البنية التحتية للتطبيقات الحديثة. ولأن أدوات مثل AdminNeo مصممة للتفاعل مباشرة مع محركات التخزين الخلفية، فإن أي مهاجم ينجح في اختراق الأداة يحصل فعلياً على صلاحيات وصول على مستوى الجذر إلى طبقة البيانات. وفي بيئات المؤسسات والاستضافة والتطوير، غالباً ما تخزن قواعد البيانات هذه سجلات عملاء حساسة، ودفاتر حسابات مالية، وبيانات اعتماد النظام، وممتلكات فكرية سرية.

ويُمثل تثبيت الجلسة خطراً جسيماً لأنه يلتف على معايير تعقيد كلمات المرور وحماية المصادقة متعددة العوامل. فإذا تمكن مهاجم من إجبار متصفح المسؤول على اعتماد معرّف جلسة معروف مسبقاً قبل المصادقة—سواء عبر التلاعب بالروابط، أو التنصت على الشبكة، أو التلاعب المحلي بملفات تعريف الارتباط—فيمكن للمهاجم أن يرث جلسة المسؤول الموثقة بالكامل فور تسجيل المستخدم دخوله. ويتيح ذلك انتحالاً كاملاً للشخصية دون الحاجة إلى اكتشاف بيانات الاعتماد الأصلية لقاعدة البيانات المستهدفة.

وتزيد هجمات تزوير الطلبات عبر المواقع من هذا الخطر التشغيلي. فلوحات التحكم الإدارية تُعد أهدافاً مفضلة لهجمات CSRF لأن المسؤولين غالباً ما يتركون لوحات معلومات الإدارة مفتوحة في علامات تبويب المتصفح في الخلفية أثناء تصفحهم للإنترنت بشكل عام. وإذا زار مسؤول مصادق عليه صفحة ويب مخترقة أو خبيثة، يمكن لنصوص برمجية مدمجة إرسال أوامر إدارية خفية مباشرة إلى واجهة AdminNeo. وإذا فشل روتين verify_token في التحقق من الرموز بصرامة، فقد ينفذ التطبيق عمليات خطيرة، بما في ذلك إنشاء حسابات غير مصرح بها في قاعدة البيانات، أو تسريب مخططات الجداول، أو حذف قواعد بيانات الإنتاج الحيوية. ويمتد نطاق الضرر لمثل هذه الهجمات إلى ما هو أبعد من تعطل البرمجيات ليصل إلى التزامات الامتثال لحماية البيانات، والغرامات التنظيمية، وفقدان البيانات الدائم.

## الخلفية

يُعد AdminNeo تطبيق ويب مفتوح المصدر صُمم ليكون واجهة مرنة وخفيفة لإدارة قواعد البيانات، وطُوّر كبديل حديث وتفريعة ضمن سلالة Adminer. وقد طُوّر Adminer في الأصل على يد مهندس البرمجيات التشيكي Jakub Vrána تحت اسم phpMinAdmin بدءاً من عام 2007، وصُمم كبديل لأداة phpMyAdmin الثقيلة والمعرضة للثغرات تاريخياً. وعلى عكس phpMyAdmin، التي تتألف من آلاف الملفات الفردية وسلاسل الاعتماديات المعقدة، كان Vrána رائداً في بنية معمارية تتمحور حول حزم الأداة بأكملها في ملف PHP نصي واحد. وجعل هذا القرار المعماري Adminer ذا شعبية استثنائية بين مسؤولي الأنظمة، ومستضيفي الويب، والمطورين المستقلين الذين يسعون للنشر السريع على خوادم بعيدة دون الحاجة إلى إجراءات تثبيت حزم معقدة.

ومع ذلك، فإن نهج الملف الواحد البسيط أو تقليص الحجم يفرض تحديات صيانة أمنية خاصة. فالدوال الأساسية—بما فيها معالجة الجلسات، وإنشاء الرموز، وتصيير الاستعلامات، وتجريد برامج التشغيل—تُدمج بصورة متكررة في نصوص مساعدة مشتركة مثل functions.inc.php. وعلى مدى العقدين الماضيين، واجهت أدوات إدارة الويب مراراً وتكراراً ثغرات تتعلق بتجاوز المصادقة، والبرمجة النصية عبر المواقع (XSS)، وتزوير الطلبات من جانب الخادم (SSRF)، وCSRF.

وشهد Adminer نفسه إفصاحات أمنية بارزة في السنوات الماضية، بما في ذلك CVE-2021-43008، والتي انطوت على إفصاح عشوائي عن الملفات، إلى جانب مشكلات سابقة أدت فيها الإعدادات الافتراضية إلى تعريض قواعد البيانات المحلية لاتصالات عن بُعد. وسعت التفريعة واستمرار التطوير في إطار مشاريع مثل AdminNeo إلى الحفاظ على طابع البرمجية الخفيف مع تحديث التوافق مع إصدارات PHP الأحدث ومعايير الويب المتطورة. ورغم هذه التحديثات، يظل منطق تطبيقات الويب الأساسي—ولا سيما الحفاظ على الحالة والمقارنة التشفيرية للرموز—عرضة لأخطاء تصميمية دقيقة إذا اعتمد المطورون على أنماط تحقق قديمة بدلاً من اللبنات المحصنة في أطر العمل الحديثة.

## ردود الفعل

حتى وقت الإفصاح، لم تصدر ردود رسمية عامة من مسؤولي صيانة البرمجية عبر قنوات التوزيع الرئيسية. وظهرت الإفصاحات عبر موجزات تجميع الثغرات دون بيانات صحفية مرافقة أو ملاحظات إرشادية متزامنة على مستودعات البرمجة الاجتماعية الرئيسية.

وعادة ما يتعامل مسؤولو الأمان والمساهمون المجتمعيون في أدوات قواعد البيانات مفتوحة المصدر مع مثل هذه التقارير عبر إصدار طلبات سحب، وصياغة إصدارات تصحيحية، ونشر تنبيهات أمنية عبر منصات مثل GitHub. ولم يصدر مسؤولو صيانة الأنظمة في المراحل التالية—مثل المشرفين على حزم توزيعات Linux، ومسؤولي حاويات Docker، ومطوري لوحات تحكم الويب—تنبيهات متزامنة بعد. ولأن أدوات قواعد البيانات تُنشر بشكل متكرر كنصوص مستقلة مخصصة بدلاً من استخدام مديري الحزم المركزيين، يتوقع خبراء الأمن أن يعتمد التصحيح في المراحل التالية بشكل كبير على حملات التوعية اليدوية وتحديثات الإدارة المستضافة ذاتياً بدلاً من الترقيع التلقائي الشامل لجميع الأنظمة.

## ما لا نعرفه بعد

لا تزال عدة تفاصيل تقنية غير مؤكدة في التوثيق الأولي للثغرات. ولا تقدم التقارير الصادرة عن VulDB سلاسل متجهات نظام تقييم نقاط الضعف الشائعة (CVSS) كاملة أو درجات أساسية نهائية لأي من CVE-2026-96631 أو CVE-2026-96629، مما يترك تقييم الخطورة المعياري الرسمي معلقاً. علاوة على ذلك، لا تشير السجلات إلى ما إذا كان قد لوحظ استغلال نشط في بيئات الإنتاج أو ما إذا كانت شيفرة استغلال وظيفية لإثبات المفهوم قد تم تداولها بين الجهات الفاعلة في التهديد.

ومن غير الواضح أيضاً ما إذا كان قد تم وضع اللمسات الأخيرة على تحديث رسمي رئيسي، مثل الإصدار 5.5.1، لمعالجة كلتا المشكلتين في آن واحد. كما تتطلب المتطلبات الأساسية الدقيقة للهجوم توضيحاً: وتحديداً ما إذا كان خلل CSRF في verify_token ينبع من الفشل التام في التحقق من الرموز، أو خوارزمية مقارنة غير صحيحة عرضة لهجمات التوقيت، أو قبول رموز فارغة أو غير منسقة بشكل سليم. وستحدد الإجابات على هذه الأسئلة مدى السهولة التي يمكن بها لمهاجم خارجي تدبير هجمات مؤتمتة ضد عمليات النشر المستهدفة.

## ما يجب مراقبته

ينبغي للمسؤولين والمؤسسات التي تُشغل عمليات تثبيت AdminNeo مراقبة عدة محطات رئيسية خلال الأيام القادمة. وسيكون المؤشر الأساسي هو نشر ملاحظات تصحيح رسمية أو إطلاق إصدار يتجاوز 5.5.0 داخل مستودع الشيفرة المصدرية الرسمي للمشروع، مما سيوفر فروق الشيفرة التي توضح الإصلاحات الدقيقة داخل functions.inc.php.

وفي ظل غياب تحديث رسمي فوري، يتعين على موظفي الأمان التحقق مما إذا كانت إجراءات التخفيف الدفاعية ممكنة على مستوى خادم الويب ومحيط الشبكة. وتشمل الضوابط ذات الصلة تقييد الوصول الشبكي إلى البوابات الإدارية عبر الشبكات الخاصة الافتراضية (VPN) الداخلية أو قوائم السماح لعناوين IP، مما يمنع لوحة التحكم من مواجهة الإنترنت المفتوح. ويجب على المسؤولين أيضاً تكوين سمات صريحة لملفات تعريف الارتباط SameSite (مثل SameSite=Strict) على ترويسات جلسات خادم الويب للحد من تزوير الطلبات عبر المواقع، مع ضمان فرض إعادة إنشاء الجلسة على مستوى وقت تشغيل PHP. وأخيراً، فإن تتبع قاعدة بيانات الثغرات الوطنية (NVD) للحصول على درجات خطورة CVSS الرسمية والتحليل الفني سيوفر معايير حاسمة لتحديد أولويات التصحيح لدى المؤسسات.

استندت كتابة هذا التقرير إلى إفصاحات عن ثغرات أمنية نشرتها VulDB.