یک آسیب‌پذیری امنیتی با شناسه CVE-2026-96601 در اپلیکیشن PHP تحت عنوان Online Makeup Store شناسایی شده است. این نقص امنیتی از نوع SQL Injection بوده و در بخش مدیریت ورود (Admin Login Handler) در فایل index.php رخ می‌دهد.
جزئیات فنی آسیب‌پذیری
مهاجمان می‌توانند از طریق دستکاری پارامترهای id و password در نقطه انتهایی (Endpoint) مربوط به ورود، کدهای SQL مخرب را تزریق کنند. از آنجایی که این پارامترها در یک محیط عمومی و بدون نیاز به احراز هویت قرار دارند، مهاجم می‌تواند بدون داشتن هرگونه اعتبارنامه (Credentials) یا تعامل کاربر، این حمله را به صورت از راه دور (Remote) اجرا کند.
تاثیرات امنیتی (Impact)
- دسترسی به داده‌ها: این نقص امنیتی امکان خواندن کامل پایگاه داده (Full DB Read) را فراهم می‌کند.
- دور زدن احراز هویت: مهاجم می‌تواند با بهره‌برداری از این آسیب‌پذیری، فرآیند احراز هویت را دور زده و به بخش‌های مدیریتی دسترسی پیدا کند.
- تغییر داده‌ها: امکان نوشتن محدود در پایگاه داده (Limited Write) نیز برای مهاجم فراهم است.
وضعیت فعلاً اکسپلویت
در حال حاضر کد اکسپلویت (Exploit) این آسیب‌پذیری به صورت عمومی منتشر شده است و می‌تواند توسط عوامل تهدید برای هدف قرار دادن نسخه‌های آسیب‌پذیر مورد استفاده قرار گیرد. با توجه به مدل عرضه Rolling Release این محصول، شناسایی دقیق نسخه‌های اصلاح شده دشوار است، اما توصیه می‌شود مدیران سیستم‌های مربوطه سریعاً اقدامات پیشگیرانه را اعمال کنند.
