كشف ثغرات متعددة للحقن عبر لغة الاستعلامات البنيوية (SQL Injection) في منصة مفتوحة المصدر لإدارة الامتحانات

نشرت قاعدة بيانات الثغرات الأمنية السيبرانية VulDB ثلاثة إرشادات أمنية في 17 أكتوبر 2026، توثق مجموعة من ثغرات حقن لغة الاستعلامات البنيوية المكتشفة داخل المنصة مفتوحة المصدر Online-Examination-System، التي طورها المطور itsmeravitejak. وتحدد الإفصاحات ثغرات تؤثر على البرنامج عبر جميع الإصدارات حتى إيداع الشيفرة البرمجية e6208e630b14657999bbfe4c9912302d2a1e2449. وتمتد نقاط الضعف، المصنفة رسمياً تحت الرموز CVE-2026-111871 وCVE-2026-111872 وCVE-2026-111873، عبر ثلاثة ملفات تشغيلية مسؤولة عن إدارة المواد، وتقارير قواعد البيانات، والإدارة غير المتزامنة للامتحانات. وتشير النتائج إلى أن المدخلات غير المصدقة التي يعالجها التطبيق يمكن أن تسمح بالتلاعب المباشر بتعليمات قواعد البيانات الخلفية، مما يخلق مخاطر الكشف غير المصرح به عن البيانات والتلاعب الإداري.

## Key facts

- نشرت منصة توثيق الأمن السيبراني VulDB إرشادات أمنية لثلاث ثغرات أمنية ذات صلة في 17 أكتوبر 2026. - صُنفت الثغرات تحت المدخلات الرسمية CVE-2026-111871 وCVE-2026-111872 وCVE-2026-111873. - البرنامج المتأثر هو منصة Online-Examination-System مفتوحة المصدر والمطورة بواسطة itsmeravitejak، حتى إيداع git رقم e6208e630b14657999bbfe4c9912302d2a1e2449. - تستهدف الثغرات ثلاثة ملفات تطبيقية متباينة: subjectsdb.php وdatabase.php وexammanger.php. - تشمل الإجراءات التشغيلية المعرضة للخطر دالة getreport في database.php ونقطة النهاية غير المتزامنة topicslist داخل exammanger.php.

## What happened

في سلسلة من مدخلات الثغرات المنسقة المسجلة في 17 أكتوبر 2026، وثق محللو الأمن في VulDB ثلاثة عيوب فنية مدمجة في تطبيق Online-Examination-System. وتعود الشيفرة البرمجية المتأثرة إلى المستودع العام الذي يديره itsmeravitejak، والذي تم تقييمه حتى تجزئة الإيداع e6208e630b14657999bbfe4c9912302d2a1e2449.

ويحدد الإرشاد الأمني الأول، الموثق تحت الرمز CVE-2026-111871، نقطة ضعف في حقن لغة الاستعلامات البنيوية تقع داخل البرنامج النصي subjectsdb.php. ووفقاً للوثائق الفنية المنشورة من قبل VulDB، يتعامل الملف مع العمليات المرتبطة بتخزين سجلات المواد وتعديلها. وتسمح معالجة المعاملات غير المنقاة داخل هذا المكون بتعزيز تعليمات قاعدة البيانات بمدخلات خارجية غير مصرح بها.

وبعد ثوانٍ معدودة، كشف إفصاح ذو صلة مسجل تحت الرمز CVE-2026-111872 عن نقطة ضعف مماثلة داخل database.php. وأفادت VulDB أن الثغرة تؤثر تحديداً على دالة getreport، وهي آلية تستخدمها المنصة للاستعلام عن مقاييس التقارير وتجميعها وعرضها. وعندما تفشل حقول الإدخال الموجهة إلى هذه الدالة في الخضوع للتحقق الصارم من نوع البيانات أو تجاوز المحارف، يمكن للمهاجم إلحاق أوامر استعلام بنيوية مباشرة بمحرك قاعدة البيانات الخلفي.

ويركز الإشعار الثالث، المفهرس برمز CVE-2026-111873، على نقطة نهاية غير متزامنة لـ JavaScript وXML تقع في exammanger.php. وحسبما فصلت VulDB، تؤثر الثغرة على إجراء topicslist. ونظراً لأن نقاط النهاية غير المتزامنة تتبادل البيانات باستمرار مع واجهات العميل في الخلفية، فإن معلمات الاستعلام التي لم يتم ترشيحها بشكل كافٍ والممررة عبر نقطة النهاية هذه تسمح لأطراف خارجية بتنفيذ عبارات قاعدة بيانات عشوائية.

وترجع جميع تقارير الثغرات الثلاث المشكلة البرمجية الأساسية إلى عدم كفاية العزل بين التعليمات القابلة للتنفيذ والبيانات المقدمة من المستخدم في البرمجة النصية التقليدية للويب بلغة PHP. وفي كل حالة، يمكن للمدخلات التي يتحكم فيها المستخدم الخروج من نطاقها التشغيلي المقصود وإجبار مفسر قاعدة البيانات على تنفيذ أجزاء استعلام غير مصرح بها.

## Why it matters

يشكل الكشف عن ثغرات متعددة لحقن قواعد البيانات داخل منصة تقييم تعليمية مخاطر أمنية جسيمة للمؤسسات الأكاديمية ومراكز الاختبارات التي تعتمد برمجيات امتحانات ذاتية الاستضافة. وتدير منصات الاختبارات تدفقات عمل أكاديمية حساسة، تشمل مستودعات الأسئلة، ونماذج الإجابة النشطة، ومقاييس درجات الطلاب، وبيانات الاعتماد الإدارية. وعندما يحتوي نظام التقييم على ثغرات تتيح الوصول إلى قواعد البيانات دون مصادقة أو بقيود ضعيفة، تصبح نزاهة عملية الامتحانات برمتها موضع شك.

وتسمح ثغرات حقن قواعد البيانات، المصنفة في الأطر المعيارية للقطاع تحت مدخل Common Weakness Enumeration برمز CWE-89، لأطراف خارجية بتجاوز ضوابط المصادقة القياسية، واستخراج السجلات المخزنة، وتعديل محتويات الجداول. وفي بيئة الامتحانات، يمكن لمن يستغل CVE-2026-111871 أو CVE-2026-111872 أو CVE-2026-111873 نظرياً استرجاع أسئلة الامتحانات غير المعلنة قبل جلسات الاختبار المقررة. وبالمثل، تتيح القدرة على الكتابة في قاعدة البيانات الأساسية تعديلاً غير مشروع لنتائج الاختبارات أو كشوف درجات الطلاب أو مستويات صلاحيات المستخدمين.

وبعيداً عن الغش الأكاديمي، فإن اختراق قواعد بيانات الطلاب والمعلمين يرتب تبعات تنظيمية وقانونية. ففي النطاقات القضائية الخاضعة لتشريعات خصوصية صارمة، مثل European Union بموجب General Data Protection Regulation، أو United States بموجب Family Educational Rights and Privacy Act، تواجه المؤسسات التعليمية عقوبات إدارية قاسية إذا تُركت معلومات التعريف الشخصية للطلاب عرضة للتسريب والسرقة عبر عيوب برمجية يمكن تفاديها.

## The background

ظل حقن لغة الاستعلامات البنيوية من بين أكثر نقاط الضعف الأمنية استمراراً في تطوير برمجيات الويب لأكثر من عقدين. ومنذ توثيقه لأول مرة في المراجع الفنية في أواخر تسعينيات القرن الماضي، احتل نمط الثغرة باستمرار موقعاً بارزاً في قائمة أفضل 10 مخاطر لتطبيقات الويب الصادرة عن Open Worldwide Application Security Project. ورغم التوثيق الواسع والحلول الهندسية الراسخة، فإن تطبيقات الويب المبنية باستخدام شيفرات PHP الإجرائية الأولية كثيراً ما تعاني من هذا النوع من العيوب.

ويعتمد التدبير التخفيفي المعتمد في القطاع لحقن لغة الاستعلامات البنيوية على العبارات ذات المعلمات، والتي يتم تطبيقها عادةً عبر PHP Data Objects أو استعلامات MySQL محسنة ومجهزة. وعند استخدام العبارات الجاهزة، يتعامل نظام إدارة قواعد البيانات مع المعلمات الواردة بوصفها قيماً حرفية وبيانات خاملة تماماً وليس كصيغ برمجية قابلة للتنفيذ، مما يبطل أي محاولة لتعديل الاستعلام. أما التطبيقات التي تعتمد بدلاً من ذلك على دمج النصوص المباشر لإنشاء أوامر قاعدة البيانات، فتظل معرضة للخطر بطبيعتها متى أُهملت دوال تنقية المدخلات أو كانت غير مكتملة أو تم تجاوزها.

ويتم تنسيق التتبع الدولي للعيوب الأمنية عبر نظام Common Vulnerabilities and Exposures، الذي تشرف عليه MITRE Corporation برعاية United States Cybersecurity and Infrastructure Security Agency. وتمنح جهات ترقيم CVE المعتمدة معرفات أبجدية رقمية فريدة للعيوب التي تم التحقق منها، مما يمكّن مطوري البرمجيات ومشغلي شبكات المؤسسات ومسؤولي الاستجابة للحوادث من تتبع العيوب الفنية وفهرستها ومعالجتها.

وتقوم المنصات المستقلة وخدمات الفهرسة الأمنية، بما فيها VulDB، بفهرسة الثغرات التي يكشفها الباحثون المستقلون وأدوات فحص الشيفرة الآلية بانتظام. وبينما تحافظ المنصات التجارية الكبرى على برامج مخصصة للإفصاح عن الثغرات، فإن الأدوات مفتوحة المصدر الأصغر والمشاريع المستقلة الموزعة عبر مستودعات عامة مثل GitHub غالباً ما تفتقر إلى إجراءات مراجعة أمنية منظمة، مما يجعل عمليات نشرها معتمدة على عمليات تدقيق أمني من جهات خارجية.

## Reaction

لم تصدر أي بيانات عامة رسمية أو إرشادات دفاعية أو نشرات أمنية عن مسؤول صيانة المشروع، itsmeravitejak، رداً على الإفصاحات التي نشرتها VulDB. ولم تتضمن الإرشادات الأولية تعليقات من مالك المستودع، كما لم تشر إلى أي طلب سحب عام قائم يعالج البرامج النصية المعرضة للخطر.

ونظراً لأن المشاريع مفتوحة المصدر على منصات الاستضافة التعاونية تعمل غالباً دون مكاتب صحفية رسمية أو فرق استجابة مخصصة، فإن التواصل المتعلق بالتحديثات الأمنية يجري عادةً عبر متتبعات المشكلات في المستودعات العامة أو سجلات الإيداع. ومن المتوقع أن يراجع مسؤولو الشبكات والفرق الفنية الأكاديمية التي تستخدم البرنامج عمليات التثبيت على خوادمهم، وفرض ضوابط الوصول إلى الشبكة المحلية، ومراقبة نشاط المستودع ترقباً للترقيعات البرمجية القادمة.

وكثيراً ما يوصي محللو الأمن الذين يراقبون ثغرات البرمجيات التعليمية بأن ينشر مشغلو الأنظمة طبقات حماية خارجية، مثل جدران حماية تطبيقات الويب، لاكتشاف وحظر تراكيب الاستعلام البنيوية المشوهة قبل وصولها إلى نقاط النهاية المعرضة للخطر في خوادم التطبيقات غير المرقعة.

## What we don't know yet

لا تزال العديد من الجوانب العملية المتعلقة باكتشاف هذه العيوب ومستوى التعرض لها في الواقع غير مؤكدة. ولم تحدد الإفصاحات الأولية من VulDB ما إذا كانت الثغرات قد كُشفت من خلال التحليل الآلي للشيفرة المصدرية، أو اختبارات الاختراق اليدوية، أو الاستغلال الفعلي الذي تم رصده في بيئات التشغيل. وبناءً على ذلك، لا يزال من غير المعروف ما إذا كانت أطراف خبيثة قد استغلت نقاط النهاية المحددة هذه ضد خوادم الامتحانات في بيئة الإنتاج الفعلي.

بالإضافة إلى ذلك، لا تحدد التقارير عدد المؤسسات أو المدارس أو المسؤولين الأفراد الذين يعتمدون بنشاط الشيفرة البرمجية لـ Online-Examination-System من تطوير itsmeravitejak. وفي حين تشير مستودعات git العامة إلى سجل مراجعات الشيفرة حتى الإيداع e6208e630b14657999bbfe4c9912302d2a1e2449، فإن عدد عمليات التثبيت الحية المتصلة بالإنترنت يظل غير موثق.

كما أنه ليس من الواضح ما إذا كان سيتم دمج ترقيع أمني رسمي في المستودع الرئيسي، أو ما إذا كان يتعين على مشغلي الأنظمة إعادة هيكلة ملفات subjectsdb.php وdatabase.php وexammanger.php يدوياً لتطبيق استعلامات قواعد البيانات المجهزة بصورة مستقلة.

## What to watch

يتمثل التطور الأساسي الجدير بالمتابعة في معرفة ما إذا كان مسؤول الصيانة سينشر إيداعات برمجية محدثة تستبدل التجميع الديناميكي للاستعلامات بتفاعلات قواعد بيانات ذات معلمات عبر الملفات المتأثرة. ويجب على مستخدمي المستودع مراقبة نشاط الإيداعات اللاحقة بعد التجزئة e6208e630b14657999bbfe4c9912302d2a1e2449 للحصول على الإصلاحات الأمنية.

وفي النطاق الأوسع لإدارة الثغرات الأمنية، ينبغي للمراقبين ترقب نشر مقاييس Common Vulnerability Scoring System القياسية لـ CVE-2026-111871 وCVE-2026-111872 وCVE-2026-111873. وتحدد درجات الخطورة هذه، المعينة من قبل مقيمي الثغرات والتي تعكسها مؤسسات مثل United States National Vulnerability Database، تقييمات خط الأساس لقابلية الاستغلال والتأثير التي تستخدمها برامج التحقق الآلي من الامتثال.

كما ينبغي للفرق الأمنية التي تدير بيئات الامتحانات ذاتية الاستضافة مراقبة احتمال ظهور نصوص استغلال عامة لإثبات المفهوم تستهدف نقطة نهاية AJAX المسماة topicslist في exammanger.php أو دالة getreport في database.php، وهو ما من شأنه أن يزيد بشكل كبير من إلحاحية المعالجة اليدوية للشيفرة.

يستند هذا التقرير إلى بيانات الثغرات الفنية التي نشرتها VulDB عبر مدخلات دليلها الأمني في 17 أكتوبر 2026.