یک آسیب‌پذیری از نوع احراز هویت نادرست (Improper Authentication) در پلتفرم توسعه سریع ruoyi-vue-pro شناسایی شده است که می‌تواند مکانیزم تایید کد پیامکی (SMS Code Verification) را مختل کند. این آسیب‌پذیری که با شناسه CVE-2026-116006 ثبت شده است، به مهاجمان اجازه می‌دهد با دستکاری پارامترهای درخواست، فرآیند ورود را دور بزنند.
جزئیات فنی و نحوه حمله
این آسیب‌پذیری در فایل AuthController.java و در جریان احراز هویت از طریق پیامک رخ می‌دهد. مهاجم می‌تواند با دستکاری پارامترهای mobile و/یا code در درخواست‌های ارسالی، منطق تایید کد را دور زده و بدون داشتن کد معتبر، به سیستم دسترسی پیدا کند. بر اساس بردار CVSS (AV:N/AC:L/PR:N/UI:N)، این حمله از راه دور (Remote)، بدون نیاز به سطح دسترسی (No Privileges) و بدون نیاز به تعامل کاربر (No User Interaction) قابل انجام است.
با وجود اینکه ماهیت حمله دور زدن احراز هویت است، اما بر اساس ارزیابی‌های انجام شده، تاثیر آن بر محرمانگی، یکپارچگی و در دسترس بودن (CIA Triad) در سطح Low (کم) برآورد شده است. همچنین، اگرچه یک کد اثبات مفهوم (PoC) عمومی منتشر شده است، اما کارایی آن هنوز به طور کامل تایید نشده و شواهدی از بهره‌برداری گسترده در حوزه‌های عملیاتی مشاهده نشده است.
وضعیت اصلاح و اقدامات پیشنهادی
تا لحظه انتشار این گزارش، هنوز وصله امنیتی (Patch) رسمی از سوی توسعه‌دهنده ارائه نشده است. با توجه به اینکه این آسیب‌پذیری به پیکربندی سیستم بستگی دارد، اقدامات زیر توصیه می‌شود:
- غیرفعال‌سازی قابلیت: اگر از قابلیت ورود از طریق کد پیامکی استفاده نمی‌کنید، این مسیر احراز هویت را در تنظیمات سیستم غیرفعال کنید.
- محدودسازی دسترسی: دسترسی شبکه به نقاط انتهایی (Endpoints) مربوط به
AuthControllerرا تنها به شبکه‌های مورد اعتماد محدود کنید یا از طریق WAF/Reverse Proxy اعمال کنید. - کنترل نرخ درخواست (Rate Limiting): برای جلوگیری از حملات حدس زدن یا دستکاری پارامترها، محدودیت‌های سختگیرانه‌ای برای تعداد درخواست‌ها بر اساس شماره موبایل و IP مبدأ اعمال کنید.
- مانیتورینگ: لاگ‌های مربوط به احراز هویت را برای شناسایی الگوهای غیرعادی در پارامترهای
mobileوcodeبه دقت بررسی کنید.
