یک آسیب‌پذیری امنیتی در نرم‌افزار Zhonglun CloudPos (نسخه‌های تا 3.0.1.76) شناسایی شده است که به مهاجمان اجازه می‌دهد از طریق تزریق کد (Code Injection)، کنترل سیستم هدف را به دست بگیرند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی در مؤلفه JSBridge و به‌طور مشخص در تابع OpenLocalBrowser در فایل ZlPos/ZlPos/Bizlogic/JSBridge.cs رخ می‌دهد. این تابع که بر پایه CefSharp توسعه یافته است، در پردازش آرگومان url دچار مشکل است که منجر به ایجاد یک حفره CWE-94 (تزریق کد) می‌شود.
تحلیل اثرات و سطح دسترسی
- نوع حمله: این حمله می‌تواند به‌صورت از راه دور (Remote) اجرا شود.
- نتیجه نهایی: اگرچه در برخی گزارش‌ها شدت آن متوسط ذکر شده، اما تحلیل‌های فنی و سوابق CVE مربوط به سازنده نشان می‌دهد که نتیجه عملی این آسیب‌پذیری، اجرای کد از راه دور یا RCE است.
- شرایط اجرا: برای بهره‌برداری از این نقص، مهاجم باید بتواند کاربر را ترغیب کند تا محتوای مخرب را در مرورگر داخلی اپلیکیشن بارگذاری کند.
وضعیت اکسپلویت و پاسخ سازنده
در حال حاضر یک کد اثبات مفهوم (PoC) با عنوان CloudPos.CefSharp.RCE به‌صورت عمومی منتشر شده است که امکان بازتولید و اجرای این حمله را فراهم می‌کند. گزارش‌ها حاکی از آن است که با وجود اطلاع‌رسانی زودهنگام به سازنده، هیچ‌گونه پاسخ یا اصلاحیه‌ای از سوی شرکت Zhonglun دریافت نشده است.
