یک آسیب‌پذیری امنیتی در نرم‌افزار Zhonglun CloudPOS 3.0 شناسایی شده است که به مهاجمان اجازه می‌دهد از طریق حملات Man-in-the-Middle (MITM)، کانال به‌روزرسانی خودکار این سیستم را هدف قرار دهند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی که با شناسه CVE-2026-97866 شناخته می‌شود، در فایل Program.cs مربوط به کامپوننت Automatic Update رخ داده است. مهاجم می‌تواند با دستکاری آرگومان‌های version، url، packagekey و package name، جریان به‌روزرسانی نرم‌افزار را تغییر داده یا آن را منحرف کند.
تحلیل سطح دسترسی و پیچیدگی
- دسترسی: این حمله به صورت Remote (از راه دور) قابل اجرا است و نیازی به احراز هویت (Authentication) یا تعامل کاربر (User Interaction) ندارد.
- پیچیدگی: با وجود در دسترس بودن Exploit عمومی، اجرای موفقیت‌آمیز این حمله بسیار پیچیده است، زیرا مهاجم باید بتواند موقعیت مناسبی را برای رهگیری ترافیک شبکه (Interception Position) در مسیر ارتباطی ایجاد کند.
- تاثیرات: اثر این آسیب‌پذیری بر روی محرمانگی (Confidentiality)، یکپارچگی (Integrity) و در دسترس بودن (Availability) کانال به‌روزرسانی در سطح «پایین» ارزیابی شده است.
وضعیت پاسخگویی سازنده
گزارش‌ها حاکی از آن است که با سازنده نرم‌افزار برای رفع این مشکل تماس گرفته شده، اما تا این لحظه هیچ پاسخی از سوی آن‌ها دریافت نشده است. این آسیب‌پذیری در دسته CWE-300 (دسترسی کانال توسط Non-Endpoint) قرار می‌گیرد.
