---
title: "Postiz 2.25.3: ثغرة بتقييم 9.9 بتخلّي أي مستخدم مسجّل يسرق منظمتك"
description: "يوم 24 تشرين الأول سكّرت Postiz بالإصدار 2.25.3 ثغرتين حرجتين: وحدة بتقييم 9.9 بتخلّي مستخدم عادي يزوّر توكنات دخول ودعوات واستعادة كلمة سر، والتانية بتقرا ملفات السيرفر. حدّث ودوّر سر التوكنات."
url: https://ihsanalapsi.dev/articles/postiz-forged-token-takeover
lang: ar
date: 2026-10-25
updated: 2026-10-25
tags: ["تحديثات أمنية", "أمن التطبيقات"]
author: Ihsan Alapsi (إحسان العبسي)
---
# Postiz 2.25.3: ثغرة بتقييم 9.9 بتخلّي أي مستخدم مسجّل يسرق منظمتك

إذا بتشغّل Postiz على سيرفرك لجدولة منشورات السوشيال، يوم 24 تشرين الأول 2026 صار عندك تحديث ما بيستنى. الإصدار 2.25.3 بيسكّر ثغرتين حرجتين، أخطر وحدة فيهن بتقييم 9.9 من 10، وبتخلّي مستخدم عادي مسجّل يصير مدير أعلى على منظمة غيره ويقرا مفتاح API تبعها. والتوكنات المزوّرة ما بتنتهي، فالتحديث لحاله ما بيكفي.

## شو صار يوم 24 تشرين الأول؟

Postiz نزّلت الإصدار 2.25.3 يوم 24 تشرين الأول 2026، ومعه تحذيرين أمنيين لثغرتين حرجتين: وحدة بتزوّر التوكنات، والتانية بتقرا ملفات السيرفر.

التحذير الأول [PSA-2026-YT2HMH](https://gadvisory.org/advisories/PSA-2026-YT2HMH)، برقم CVE-2026-115933 وتقييم 9.9، عن تزوير التوكنات. والتاني [PSA-2026-E9AHFV](https://gadvisory.org/advisories/PSA-2026-E9AHFV)، برقم CVE-2026-115932 وتقييم 9.6، عن قراءة ملفات السيرفر.

الثغرتين انبلّغ عنهن لـ Postiz يوم 23 تشرين الأول، والفريق كرّرهن عنده وتأكد منهن بنفس اليوم، ورفع الإصلاح يوم 24 تشرين الأول. يعني من البلاغ للإصلاح أقل من يوم، وهاد شي منيح، بس التحذيرات صارت علنية مع الإصلاح، فأي نسخة قديمة صارت هدف واضح. و[صفحة الإصدار الرسمية](https://github.com/gitroomhq/postiz-app/releases/tag/v2.25.3) بتنصح كل المستخدمين يحدّثوا فوراً.

## كيف بتنسرق منظمة كاملة بتوكن مزيّف؟

Postiz بيوقّع توكنات الدخول والدعوات واستعادة كلمة السر بسر واحد مشترك، وبدون أي علامة بتفرّق بين نوع توكن والتاني. ومسار تحديث بيانات قناة إضافة المتصفح كان بيوقّع بيانات بيبعتها المستخدم نفسه بالطلب، وبيخلّي النتيجة بمكان بيقدر المستخدم يقراها منه.

فصار مستخدم عادي بيقدر يطلب توكن موقّع صحيح فيه أي بيانات بده ياها، والتطبيق بيقبله كجلسة دخول، أو كدعوة لمنظمة بدور هو بيختاره، أو كاستعادة كلمة سر، أو كتوكن تجهيز اشتراك. التحذير بيقول إن الباحثين أثبتوا الهجوم من أوله لآخره: مستخدم مسجّل جديد صار مدير أعلى على منظمة مستخدم تاني وقرا مفتاح API تبعها.

والأخطر إن التسجيل الذاتي مفتوح افتراضياً بـ Postiz. المهاجم ما بده حساب مسرّب ولا دعوة من حدا: بيسجّل حساب عادي، وبعدها بيصير مدير على أي منظمة بيعرف رقمها. ورقم المنظمة بيطلع من أي رابط معاينة منشور مشترك.

المفتاح الواحد يلي بيفتح كل شي شفناه قبل، لما [مفاتيح UpdraftCentral المسروقة فتحت أبواب خلفية بمواقع ووردبريس](/articles/updraftcentral-key-compromise-backdoors). بس بـ Postiz المهاجم ما بيحتاج يسرق السر: نفس السر بيوقّع كل أنواع التوكنات، فكفّى مسار واحد بيوقّع بيانات المستخدم لحتى يصير التزوير ممكن.

## وشو قصة قراءة ملفات السيرفر؟

الثغرة التانية بتخلّي مستخدم مسجّل يقرا ملفات من قرص السيرفر. لما بيننشر منشور، Postiz بيتعامل مع مسار وسائط مش رابط ويب كملف على القرص، بدون ما يتأكد إن الملف جوّا مجلد الرفع.

المستخدم بيحط مسار ملف مركّب مع المنشور وبيتخطى الفحوصات، وعامل النشر بيقرا الملف وبيبعته كمرفق لسيرفر Discord بيتحكم فيه المهاجم.

الطريق الأساسي بده موفّر Discord مفعّل بـ Postiz عندك. بس في طريقين تانيين: واحد بيكشف إذا المسار موجود، وبيقدر يوقّف السيرفر عن الرد بطلب واحد لملف جهاز، والتاني بيوصل لنفس قراءة الملف إذا Postiz عندك بيخزّن الوسائط محلياً. وحاوية Postiz الجاهزة بتشغّل عامل النشر كمستخدم root، فأي ملف بيقدر root يقراه مكشوف، ومن ضمنه ملف البيئة يلي فيه سر توقيع التوكنات وعنوان قاعدة البيانات وأسرار الموفّرين.

يعني الثغرتين بيكملوا بعض: وحدة بتزوّر التوكنات، والتانية بتقرا السر يلي بتنبني عليه التوكنات أصلاً.

## شو تعمل هلق؟

حدّث أول شي، وبعدين دوّر سر التوكنات. الحلّين المؤقتين بس إذا ما بتقدر تحدّث هلق.

1. حدّث لـ Postiz 2.25.3 فوراً. هاد الإصلاح الكامل للثغرتين، وصفحة الإصدار بتنصح كل المستخدمين فيه.
2. دوّر سر التوكنات بعد التحديث. التوكنات المزوّرة القديمة ما بتنتهي، فتغيير السر هو يلي بيبطّلها.
3. إذا ما بتقدر تحدّث هلق، سكّر التسجيل الذاتي بـ `DISABLE_REGISTRATION=true`، وإذا ما بتستعمل قنوات بتعتمد على إضافة متصفح Postiz، احجب المسار `POST /integrations/extension-refresh` من الـ reverse proxy. هالخطوتين بيقلّلوا الخطر بس ما بيسكّروه: طريق الدعوات التاني بيضل، وأي حساب موجود بيضل قادر يهاجم.
4. دوّر بسجلاتك على أي نشاط غريب: منظمات انضاف عليها مدير جديد، أو مفاتيح API انقرت من حسابات ما بتعرفها، أو منشورات فيها مسارات ملفات غريبة.

والأدوات التانية يلي مستضيفها بنفسك على نفس السيرفر ممكن تكون بنفس الوضع. [دودة npm يلي بتسرق مفاتيح أدوات الذكاء الاصطناعي](/articles/npm-testmetest-worm-ai-credentials) ورجّت إن سلسلة التوريد والأدوات الصغيرة حوالين مشروعك هدف سهل متل التطبيق الأساسي.

## إمتى آخر مرة راجعت الأدوات يلي مستضيفها بنفسك؟

الثغرتين هون ما بدهن سلسلة هجوم طويلة: بيكفي حساب عادي وسر مشترك ومسار ملف بدون فحص. إذا عندك Postiz على سيرفرك، حدّث اليوم ودوّر السر، وبعدها اسأل حالك: أي أداة تانية عندك بتوقّع توكناتها بسر واحد، أو بتقبل مسارات ملفات من المستخدم بدون فحص؟

إذا بدك حدا يفحص هالإعدادات قبل ما يلاقيها غيرك، [مُحَصَّن بيفحص منصتك وبيسلّمك خطة إصلاح واضحة](/muhassan).

## FAQ

**أي نسخ من Postiz متأثرة؟**

ثغرة التزوير بتأثر على النسخ من 2.15.0 لحد قبل 2.25.3، وثغرة قراءة الملفات على النسخ من 2.23.0 لحد قبل 2.25.3. إذا نسختك أقدم من 2.25.3، حدّث فوراً.

**إذا سكّرت التسجيل الذاتي، هل أنا بأمان؟**

لأ. إغلاق التسجيل بيقلّل مين بيقدر يهاجمك، لأن المهاجم بده حساب عادي، بس أي حساب موجود بيضل قادر يستغل الثغرة. الإغلاق حل مؤقت، والإصلاح هو التحديث.

**ليش لازم أدوّر سر التوكنات بعد التحديث؟**

لأن التوكنات المزوّرة ما بتنتهي وما بتنفرق عن التوكنات الحقيقية، حسب التحذير. التحديث بيمنع تزوير جديد، بس التوكنات يلي انزوّرت قبل التحديث ممكن تضل شغالة لحد ما تغيّر السر.

**هل ثغرة قراءة الملفات بتحتاج إعداد معيّن؟**

مش بالضرورة. الطريق الأساسي بده موفّر Discord مفعّل، لأن الملف بيوصل كمرفق لسيرفر Discord بيتحكم فيه المهاجم. بس في طرق تانية بتمر بموفّرات تانية أو بالتخزين المحلي، فما تعتمد على غياب Discord كحماية.