آسیب‌پذیری جدیدی در سیستم مدیریت اطلاعات تولید ایمن Wubang (Wubang Five-in-One Safety Production Management Information System) شناسایی شده است که نسخه‌های تا ۳.۵ این محصول را تحت تأثیر قرار می‌دهد. این نقص امنیتی (CVE-2026-129262) از نوع بارگذاری فایل بدون محدودیت (Unrestricted File Upload – CWE-434) است و به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت (Authentication) و تعامل کاربر (User Interaction)، فایل‌های دلخواه را به سرور ارسال کنند.
جزئیات فنی و مسیر حمله
نقطه آسیب‌پذیر در سرویس وب /ws.asmx و مشخصاً در تابع DiyFileUpload قرار دارد. این تابع بدون اعمال محدودیت بر نوع فایل (File Type) یا محتوای آن، اجازه بارگذاری داده‌ها را می‌دهد. اگرچه امتیازات CVSS تأثیر این نقص را در بخش‌های محرمانگی، یکپارچگی و در دسترس بودن (CIA) در سطح پایین (Low) ارزیابی کرده‌اند، اما این یک نگاه محافظه‌کارانه است. در سناریوهای واقعی، اگر فایل‌های بارگذاری شده در مسیرهای قابل اجرا (Executable) یا در دسترس از طریق وب ذخیره شوند، مهاجم می‌تواند یک Webshell نصب کرده و منجر به اجرای کد از راه دور (RCE) شود.
وضعیت اکسپلویت و ریسک واقعی
در حال حاضر، یک اثبات مفهوم (PoC) در پلتفرم GitHub برای این آسیب‌پذیری وجود دارد، اما عملکرد آن به طور کامل تأیید نشده است. همچنین هیچ شواهدی مبنی بر سوءاستفاده فعال (Active Exploitation) در محیط‌های عملیاتی یا لیست CISA KEV مشاهده نمی‌شود. با این حال، با توجه به ماهیت دسترسی از راه دور و عدم نیاز به اعتبارنامه، ریسک پتانسیل حمله همچنان جدی است.
توصیه‌های امنیتی و مقابله
از آنجایی که سازنده (Vendor) هنوز پَچ (Patch) رسمی منتشر نکرده است، اقدامات زیر برای کاهش سطح حمله توصیه می‌شود:
- محدودسازی دسترسی شبکه: دسترسی به نقطه انتهایی
/ws.asmxرا تنها از طریق VPN یا لیست‌های سفید (Allowlist) محدود کنید و آن را در معرض اینترنت قرار ندهید. - استفاده از WAF: در صورت نیاز به ادامه فرآیند بارگذاری، از یک Web Application Firewall برای اعمال قوانین سخت‌گیرانه بر روی MIME-type و پسوند فایل‌ها استفاده کنید.
- ایزوله‌سازی فایل‌ها: فایل‌های بارگذاری شده را در مسیری خارج از ریشه وب (Web Root) ذخیره کنید و قابلیت اجرای اسکریپت را در آن دایرکتوری غیرفعال نمایید.