مركز الاستجابة الأمنية كارن آي تي (KSRC)

رقم الإرشاد: KSRC-2026-10302 | تاريخ النشر: 30 أكتوبر 2026

ثغرة حقن SQL حرجة في منصة Radius Xenia M2M
CVE-2026-114358

الملخص

تم اكتشاف ثغرة أمنية حرجة من نوع حقن SQL في منصة Radius Xenia M2M التابعة لشركة Radius Synergies. تحمل هذه الثغرة المعرّف CVE-2026-114358 وقد تم تقييمها بدرجة خطورة 9.3 (حرجة) وفق معيار CVSS v4.0.

يُمكن لمهاجم عن بُعد وغير مصادق عليه استغلال هذه الثغرة من خلال خاصية استعادة كلمة المرور في واجهة الويب الإدارية عبر إرسال استعلامات SQL معدّة خصيصًا. قد يؤدي الاستغلال الناجح إلى الوصول غير المصرح به إلى معلومات حساسة، أو تعداد بنية قاعدة البيانات، أو تعديل سجلات قاعدة البيانات.

نظرة تقنية

تنشأ الثغرة بسبب عدم التحقق الكافي من المدخلات المقدمة من المستخدم في خاصية استعادة كلمة المرور داخل واجهة الويب الإدارية للمنصة. وبما أن المدخلات لا يتم تنظيفها بشكل صحيح قبل استخدامها في استعلامات SQL، يمكن للمهاجم حقن أوامر SQL خبيثة.

تُصنّف هذه الثغرة تحت CWE-89 (عدم تحييد العناصر الخاصة المستخدمة في أوامر SQL). ولا يتطلب الاستغلال أي مصادقة ويمكن تنفيذه عن بُعد عبر الشبكة.

الأنظمة المتأثرة

• منصة Radius Xenia M2M (يبدو أن جميع الإصدارات المعروفة حاليًا متأثرة)
• لم يتم حتى الآن نشر إصدار مُصلح رسمي من قبل الشركة المطورة حتى تاريخ 30 أكتوبر 2026

التوصيات

1. الإجراء الفوري: قيّد الوصول إلى واجهة الويب الإدارية لمنصة Radius Xenia M2M. يُفضل حصر الوصول على الشبكات الداخلية أو عبر VPN فقط.
2. راقب سجلات (Logs) المتعلقة بخاصية استعادة كلمة المرور بحثًا عن أي نشاط مشبوه أو غير معتاد.
3. تواصل مع الشركة المطورة (Radius Synergies) واطلب إصدار تحديث أمني رسمي في أقرب وقت ممكن.
4. إذا أمكن، عطّل مؤقتًا خاصية استعادة كلمة المرور إلى حين توفر الإصلاح.
5. طبّق مبدأ أقل الصلاحيات (Least Privilege) على حسابات قاعدة البيانات المستخدمة من قبل التطبيق.

ينبغي على المؤسسات التي تستخدم هذه المنصة التعامل مع هذه الثغرة بأولوية عالية نظرًا لطبيعتها البعيدة وغير المصادق عليها ودرجة خطورتها الحرجة.

كارن آي تي
نجعل الإنترنت أصعب على المسيئين.