miniOrange SAML SSO: ثغرتان حرجتان تتجاوزان التحقق من التوقيع

مقدمة تحليلية

بتاريخ 2026-08-21، كشفت Patchstack وDigitalOcean Security عن ثغرتين حرجتين (CVE-2026-61979 وCVE-2026-15981) ضمن مكون miniOrange SAML 2.0 Single Sign On لـ WordPress، تسمحان بتجاوز مصادقة SAML. هذه الثغرات أدت إلى حصول مهاجمين على صلاحيات مسؤول WordPress دون الحاجة إلى كلمات مرور أو اختراق لموفر الهوية (IdP). تم رصد هجمات فعلية بنجاح على مواقع تستخدم المكون، حيث تمكن المهاجمون من الحصول على ملفات تعريف الارتباط (session cookies) الخاصة بالمسؤولين. الثغرات تؤثر على الإصدارات المجانية والمدفوعة السبع من المكون، مما يتطلب تحديثاً فورياً.

وفقاً لتقرير نُشر بتاريخ 2026-08-25، فإن التعقيد في أرقام إصدارات المكونات المدفوعة يمكن أن يؤدي إلى تقييمات أمنية خاطئة، مما يعرض عدداً كبيراً من مواقع WordPress للخطر. هذا الخلل الأمني يكشف عن فشل هيكلي في معالجة التوقيعات الرقمية ضمن أحد المكونات الحيوية لربط WordPress بأنظمة تسجيل الدخول الموحد للمؤسسات.

التحليل التقني

تعتمد الثغرتان على عيوب أساسية في كيفية معالجة مكون miniOrange SAML SSO لتوقيعات SAML، مما يسمح للمهاجمين بتزييف استجابات SAML. كلتا الثغرتين لا تتطلبان سرقة مفاتيح IdP الخاصة أو كلمات مرور WordPress، ما يجعلهما فاعلتين بشكل خاص ضد المواقع المتضررة.

CVE-2026-61979: خلط خوارزميات التوقيع

تسمح هذه الثغرة للمهاجم بخداع المكون لقبول توقيع مزور. يتم الهجوم على النحو التالي:

• يحدد المهاجم نقطة نهاية miniOrange SAML SSO على الموقع المستهدف والمفتاح العام RSA المنشور في بيانات تعريف IdP.
• يقوم المهاجم بتعيين `SignatureMethod` إلى HMAC-SHA1 في استجابة SAML، ثم يوقع تأكيد SAML مزيف باستخدام سلسلة PEM للمفتاح العام RSA كسر مشترك لـ HMAC.
• يقبل المكون الخوارزمية المحددة في استجابة SAML ويعامل المفتاح العام RSA كمفتاح HMAC.
• يُعتبر التوقيع المزور صالحاً، ويتم إصدار ملف تعريف ارتباط مصادقة WordPress للمستخدم المحدد.

هذا الاستغلال يستفيد من ضعف في المنطق البرمجي حيث يفشل المكون في فرض استخدام خوارزمية التوقيع المتوقعة، ويسمح بتغييرها في استجابة SAML، مع إساءة استخدام المفتاح العام المتاح للجميع.

CVE-2026-15981: سوء تقدير أخطاء OpenSSL

تتعلق هذه الثغرة بكيفية تعامل المكون مع قيم الإرجاع من دالة `openssl_verify` في PHP:

• يرسل المهاجم استجابة SAML تحتوي على `NameID` لمستخدم موجود وتوقيع غير صالح يؤدي إلى خطأ داخلي في OpenSSL.
• تُرجع دالة `openssl_verify` في PHP القيمة `1` للتوقيع الصالح، و`0` لعدم التطابق، و`-1` لخطأ المعالجة.
• لا يتحقق المكون بدقة من قيمة الإرجاع، بل يقيمها كقيمة منطقية (boolean). يعامل القيمة `-1`، والتي تعتبر `true` في سياق PHP المنطقي، على أنها توقيع ناجح.
• يمر التحقق من التوقيع، ويتم إصدار ملف تعريف ارتباط مصادقة WordPress للمستخدم المحدد.

هذا السلوك ينبع من ممارسات برمجية غير دقيقة في التعامل مع الأخطاء، مما يحول خطأ معالجة التشفير إلى تصديق ناجح للمصادقة. رصدت DigitalOcean نشاطاً غير طبيعي حيث حاول مهاجمون استخدام جلسة مسؤول WordPress، ونجحوا في الحصول على ملف تعريف ارتباط المسؤول قبل أن يتم حظر الإجراءات اللاحقة بسبب قيود الشبكة على `/wp-admin`.

تتأثر عدة إصدارات من miniOrange SAML SSO، وتختلف أرقام الإصدارات المحدثة حسب الطبعة: المجانية (5.4.5+)، بريميوم أحادية الموقع (13.0.4+)، ستاندرد (17.0.6+)، متعددة المواقع بريميوم/إنتربرايز/شاملة (20.2.8+)، أحادية الموقع إنتربرايز/شاملة (26.0.3+)، VIP أحادية الموقع (32.0.8+)، وVIP متعددة المواقع (35.0.7+).

السياق وتأثير السوق

تضع هذه الثغرات، المكتشفة في مكون miniOrange SAML SSO، علامة استفهام حول ممارسات الأمن في مكونات الطرف الثالث التي تعتمد عليها البنية التحتية للمؤسسات. البروتوكولات مثل SAML صُممت لتعزيز الأمن وتسهيل تسجيل الدخول الموحد (SSO)، لكن التطبيق المعيب يحوّلها إلى ناقل اختراق. مقارنةً بحلول تسجيل الدخول الموحد الأكثر نضجاً والمتكاملة مباشرة مع أنظمة مثل Microsoft Entra ID أو Okta، حيث يتم فرض معايير صارمة للتحقق من التوقيع، فإن نهج miniOrange يكشف عن فجوة خطيرة. ما كان يُعتبر معياراً لأمن المصادقة الموحدة، أي الاعتماد على التوقيعات الرقمية لضمان سلامة الرسائل، قد تم تقويضه هنا بشكل جذري.

الشركات التي استثمرت في miniOrange لتبسيط إدارة هوياتها باستخدام WordPress تواجه الآن خسارة ثقة وإمكانية اختراق مباشر. قبل هذه الثغرات، كان الاعتماد على SAML يعني ضمناً مستوى معيناً من الأمن، حيث يتم فصل مسؤوليات المصادقة عن WordPress نفسه. الآن، يمكن للمهاجمين تجاوز طبقة الأمان هذه تماماً. هذا يعيد تعريف المخاطر للمؤسسات التي تربط WordPress بأنظمة IdP، ويجعلها أكثر عرضة للهجمات التي لا تتطلب حتى اختراق موفر الهوية.

DigitalOcean أثبتت أن تقييد الوصول إلى `/wp-admin` عبر شبكات موثوقة يمكن أن يحبط الإجراءات اللاحقة حتى بعد سرقة ملفات تعريف الارتباط، مما يشير إلى أن الدفاعات متعددة الطبقات ليست رفاهية، بل ضرورة. خسارة السوق ستكون للمؤسسات التي لم تكن لديها القدرة على تتبع الإصدارات السبعة المختلفة للمكون أو لم تتمكن من تطبيق التحديثات اليدوية المطلوبة للإصدارات المدفوعة.

رؤية Glitch4Techs

الحكم النهائي بشأن ثغرات miniOrange SAML SSO واضح: هذا فشل ذريع في أساسيات الأمن. إن تجاهل قيم الإرجاع الحرجة من دالة تشفير مثل `openssl_verify`، ومعاملة قيمة `-1` (التي تشير إلى خطأ معالجة) كـ `true` منطقياً، ليس مجرد سهو، بل هو إهمال برمجي جسيم في مكون حيوي للمصادقة. هذه ليست ثغرة معقدة تتطلب فهماً عميقاً لهندسة أنظمة التشفير الحديثة، بل هي نتيجة مباشرة لعدم التحقق الصارم من النتائج المتوقعة. الواقع هو أن أي مكون يدّعي توفير تسجيل دخول موحد عبر SAML يجب أن يعالج توقيعات XML الرقمية بدقة لا تقبل الجدل.

إن قدرة المهاجمين على تزييف جلسات المسؤولين على WordPress دون الحاجة إلى اختراق IdP أو سرقة بيانات الاعتماد، تُظهر أن المكون نفسه كان نقطة ضعف حرجة. الإهمال في معالجة الخطأ `-1` من `openssl_verify` يُعد دليلاً دامغاً على ضعف التحكم في الجودة، مما يجعل أي اعتماد سابق على أمن هذا المكون غير مبرر ومحفوفاً بالمخاطر. هذا يفرض على أي مؤسسة تستخدمه إعادة تقييم شاملة لممارساتها الأمنية، ليس فقط على مستوى المكونات، بل على مستوى آليات التحقق الأساسية التي يفترض أنها آمنة.