یک آسیب‌پذیری امنیتی با شناسه CVE-2026-96548 در پروژه sfturing hosp_order شناسایی شده است. این نقص امنیتی مربوط به استفاده از اعتبارنامه‌های سخت‌افزاری (Hard-coded Credentials) در فایل jdbc.properties است که در مسیر ssm_pro/src/main/resources/ قرار دارد.
جزئیات فنی آسیب‌پذیری
به دلیل قرار گرفتن این فایل در یک مخزن عمومی (Public Repository)، مهاجمان می‌توانند به راحتی اطلاعات اتصال به پایگاه داده را استخراج کنند. در صورتی که پایگاه داده هدف در شبکه در دسترس باشد و مدیران سیستم اقدام به تغییر رمزهای عبور پیش‌فرض نکرده باشند، مهاجم می‌تواند بدون نیاز به احراز هویت (Unauthenticated) به دیتابیس دسترسی پیدا کرده و عملیات خواندن یا تغییر داده‌ها را انجام دهد.
ارزیابی ریسک و پیچیدگی
- پیچیدگی حمله (Attack Complexity): بالا (High). برای بهره‌برداری موفق، دیتابیس باید از طریق شبکه قابل دسترس باشد و اعتبارنامه‌ها تغییر نکرده باشند.
- تاثیر (Impact): پایین. دسترسی به دیتابیس منجر به تاثیرات محدودی در دسترس‌پذیری، محرمانگی و یکپارچگی داده‌ها می‌شود.
- وضعیت اکسپلویت: کد اکسپلویت در قالب یک Issue در GitHub منتشر شده است.
وضعیت اصلاحیه
با توجه به اینکه این پروژه از مدل Rolling Release برای تحویل مداوم استفاده می‌کند، نسخه‌های دقیق آسیب‌پذیر یا اصلاح‌شده اعلام نشده است. گزارش‌های اولیه حاکی از آن است که تیم توسعه‌دهنده هنوز پاسخی به گزارش‌های مربوط به این آسیب‌پذیری نداده است.
