# خطر داهم على متاجر InnoShop: ثغرة مصادقة تفتح أبواب التنصيب للمهاجمين

- CVE: CVE-2026-7630
- Severity: HIGH
- CVSS: 7.3
- Article: https://www.4jawaly.com/?p=5641

---

اكتُشفت ثغرة أمنية خطيرة في منصة التجارة الإلكترونية InnoShop حتى الإصدار 0.7.8، تصيب دالة InstallServiceProvider::boot المسؤولة عن نقطة التنصيب. تسمح الثغرة بتجاوز آلية المصادقة عن بُعد دون الحاجة إلى صلاحيات مسبقة. تم الإفصاح عن الاستغلال علنياً، ويتوفر تصحيح رسمي يجب تطبيقه فوراً على جميع السيرفرات المستضيفة لهذه المنصة.

⚠️ عالية · CVSS 7.3CVE-2026-7630 · CWE-287

## التفاصيل التقنية

## 
تقع الثغرة المسجّلة تحت المعرّف CVE-2026-7630 ضمن تصنيف CWE-287 (Improper Authentication)، وتحديداً في الملف:

📋 نسخinnopacks/install/src/InstallServiceProvider.php
المكوّن المتأثر هو Installation Endpoint الخاص بعملية تثبيت المنصة. تنشأ المشكلة من خلل في دالة boot() داخل InstallServiceProvider، حيث لا تُطبَّق ضوابط المصادقة بالشكل الصحيح، مما يجعل نقطة التنصيب قابلة للوصول والتلاعب عن بُعد حتى بعد اكتمال عملية التثبيت الأولية.

بالنسبة لأصحاب استضافة المواقع، يعني ذلك أن أي سيرفر يحتضن InnoShop بإصدار ≤ 0.7.8 يكون عرضة لهجمات HTTP مباشرة دون الحاجة لاختراق المصادقة التقليدية (لوحة التحكم أو قاعدة البيانات).

CVE-2026-7630 · PHP · HIGH

## درجة الخطورة

## 
صُنّفت الثغرة بدرجة 7.3 (HIGH) وفق معيار CVSS، وهو تصنيف عالٍ يستوجب التعامل الفوري. أبرز عوامل الخطورة:

- الاستغلال عن بُعد: لا يحتاج المهاجم إلى وصول محلي للسيرفر.

- عدم الحاجة لصلاحيات: يمكن تنفيذ الهجوم دون امتلاك حساب مسبق.

- الإفصاح العلني: تفاصيل الاستغلال متاحة للعموم، مما يرفع احتمالية الاستهداف.

- التأثير على سلامة المتجر: قد يؤدي تجاوز المصادقة إلى العبث بإعدادات التنصيب وبيانات الاتصال بقاعدة البيانات.

لم تُدرج الثغرة حالياً ضمن قائمة KEV التابعة لـ CISA، لكن ذلك لا يقلل من ضرورة التحديث.

## هل تم استغلالها؟

## 
وفقاً للمعلومات المتاحة، تم الإفصاح العلني عن الاستغلال (Public Disclosure)، وهو ما يجعل الثغرة قابلة للاستخدام من قِبل أي مهاجم يمتلك المعرفة التقنية الأساسية. لم يُؤكَّد حتى الآن إدراجها ضمن حملات استغلال نشطة واسعة النطاق، إلا أن توفر تفاصيل الاستغلال عبر منصات مثل VulDB ونقاشات GitHub يعني أن نافذة الخطر مفتوحة، ويُنصح بافتراض أن الهجمات قد تبدأ خلال وقت قصير.

## الحل والإصلاح

## 
أصدر فريق InnoShop تصحيحاً رسمياً معرّفاً بالـ commit التالي:

📋 نسخ45758e4ec22451ab944ae2ae826b1e70f6450dc9
الخطوة 1: تحقّق من إصدار InnoShop المثبّت على سيرفرك:

📋 نسخcd /path/to/innoshop && git log --oneline -5
الخطوة 2: اسحب آخر التحديثات من المستودع الرسمي:

📋 نسخgit pull origin main
الخطوة 3: إن كنت تفضّل تطبيق التصحيح يدوياً فقط، نفّذ:

📋 نسخgit cherry-pick 45758e4ec22451ab944ae2ae826b1e70f6450dc9
الخطوة 4: كإجراء احترازي إضافي، قم بتعطيل الوصول إلى نقطة التنصيب عبر إعدادات Nginx أو Apache:

📋 نسخlocation ~ ^/install { deny all; return 403; }
الخطوة 5: بعد التحديث، امسح الذاكرة المؤقتة لإطار Laravel:

📋 نسخphp artisan cache:clear && php artisan config:clear
الخطوة 6: راجع سجلات الوصول بحثاً عن محاولات استغلال سابقة تستهدف مسار /install:

📋 نسخgrep "/install" /var/log/nginx/access.log | tail -100

## الخلاصة والتوصية

## 
ثغرة CVE-2026-7630 تمثّل تهديداً جدياً لكل من يستضيف متاجر InnoShop، خصوصاً مع توفر الاستغلال علنياً. نوصي في فجّار جميع عملاء الاستضافة بما يلي:

- تحديث InnoShop فوراً إلى إصدار يتضمّن التصحيح الرسمي.

- حجب مسار /install على مستوى خادم الويب بعد اكتمال التنصيب.

- تفعيل جدار حماية تطبيقات الويب (WAF) لرصد محاولات الوصول المشبوهة.

- مراجعة سجلات السيرفر بحثاً عن نشاط غير اعتيادي خلال الأسابيع الماضية.

تجاهل هذه الثغرة قد يُعرّض متجرك وبيانات عملائك لمخاطر جسيمة تشمل السيطرة الكاملة على إعدادات التطبيق.

## 📎 ملفات التحميل

## 📄 English Security Advisory - تقرير احترافي للمختصين

📝 Technical README (Markdown) - وثائق تقنية للفرق الداخلية