یک آسیب‌پذیری امنیتی با شناسه CVE-2026-96550 در نرم‌افزار sfturing hosp_order شناسایی شده است که منجر به ارسال اطلاعات حساس از طریق پروتکل SMTP به صورت متن ساده (Cleartext) می‌شود.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی در تابع getProperties در فایل MailUtil.java رخ می‌دهد. در صورت بهره‌برداری، اطلاعات حساس مربوط به ایمیل بدون رمزنگاری منتقل می‌شوند. با وجود اینکه این حمله می‌تواند به صورت از راه دور (Remote) آغاز شود، اما پیچیدگی اجرای آن بالا است زیرا مهاجم باید در موقعیتی باشد که بتواند ترافیک شبکه بین سرور اپلیکیشن و سرور ایمیل را شنود یا رهگیری کند (Network Interception).
تحلیل ریسک و اثرات
- تأثیر بر محرمانگی: محدود (Limited Confidentiality Impact).
- تأثیر بر یکپارچگی و در دسترس بودن: هیچ تأثیری ندارد.
- پیچیدگی حمله: بالا (High Complexity)؛ نیازمند دسترسی Adversary-in-the-Middle (AiTM).
- وضعیت اکسپلویت: کد اکسپلویت (Exploit) به صورت عمومی منتشر شده است، اما گزارشی مبنی بر بهره‌برداری فعال در محیط‌های واقعی دریافت نشده است.
وضعیت اصلاحیه
به دلیل استفاده این محصول از مدل توزیع مداوم (Continuous Delivery)، نسخه‌های دقیق آسیب‌پذیر یا اصلاح‌شده اعلام نشده است. گزارش‌های اولیه به توسعه‌دهندگان ارسال شده اما تا این لحظه پاسخی از سوی تیم پروژه دریافت نشده است.
