هل موقع Umbraco تبعك بخطر؟ رابط واحد ممكن يسلّم جلسة المدير

إذا موقعك مبني على Umbraco CMS، في رابط من مهاجم، إذا فتحه حدا من فريقك وهو مسجّل دخوله بلوحة الإدارة، بيسلّم جلسته للمهاجم. بآخر هالمقال بتعرف إذا موقعك معرّض، وشو تحدّث، وشو تضبط إذا التحديث بدّه وقت.

شو صلّحت Umbraco بـ 27 تشرين الأول؟

Umbraco نشرت بـ 27 تشرين الأول 2026 سبع إرشادات أمنية لـ Umbraco CMS، كلها مصلّحة بنسخ 17.7.2 و18.2.2. واحد منها تقييمه عالي، والباقي متوسط أو منخفض.

لوحة الإدارة (backoffice) هي الواجهة يلي بيدخل منها فريقك ليعدّل المحتوى والمستخدمين والإعدادات. وهيك بتتوزع الإرشادات:

ونفس اليوم طلّعت 13.16.3 لنسخة 13، وفيها إصلاح تجاوز نقاط البداية بس.

كيف رابط واحد بيسلّم جلسة لوحة الإدارة؟

الإرشاد GHSA-rpv9-qp4c-g469 بيوصف كذا ضعف بمسار تسجيل الدخول للوحة الإدارة، لما بينجمعوا بيروح فيهن جلسة المستخدم للمهاجم. تقييمه 8.8 على CVSS 3.1.

المهاجم بيحضّر الهجوم بلا حساب، وبيبعت رابط. إذا مستخدم مسجّل دخوله بلوحة الإدارة فتح الرابط، المهاجم بياخد جلسة مسجّلة بصلاحيات هالمستخدم. وإذا كان مدير، يعني تحكم كامل باللوحة: المحتوى والمستخدمين والإعدادات، وحسب الإرشاد ممكن يوصل لتنفيذ كود على السيرفر من ميزات المدير.

هل موقعي معرّض؟

موقعك معرّض للسلسلة كاملة إذا السيرفر أو الاستضافة بتمرّق لـ Umbraco طلبات بأسماء host مش أسماء موقعك. والإرشاد بيقول إنو هالشي منتشر بتلات حالات:

1. Umbraco شغّال على Kestrel مباشرة.

2. IIS بلا ربط بأسماء host محددة.

3. reverse proxy بيمرّق ترويسة Host متل ما هي.

أما الموقع يلي ما بيوصله غير الأسماء المتوقعة، فالسلسلة الكاملة ما بتمشي عليه. بس هالشي ما بيغني عن التحديث، لأنو باقي الإرشادات ما إلها علاقة بأسماء الـ host.

شو تعمل إذا ما فيك تحدّث اليوم؟

حسب الإرشاد ما في إعداد بيسكّر الثغرة، بس في تلات شغلات بتخفف الخطر لحد ما تحدّث:

1. حدّد أسماء الـ host يلي بتوصل للتطبيق: بـ appsettings.json حط AllowedHosts بأسماء موقعك مفصولة بفاصلة منقوطة، أو اربط السيرفر أو الـ reverse proxy بأسماء محددة لحتى يرفض الباقي قبل ما يوصل لـ Umbraco.

2. قول لفريقك ما يفتحوا روابط لوحة الإدارة من مصادر مش موثوقة وهنن مسجّلين دخول.

3. افتح جدول umbracoOpenIddictApplications وشوف عناوين التحويل لـ umbraco-back-office وumbraco-swagger. أي اسم host مش لموقعك علامة إنو حدا عبث فيها.

{
  "AllowedHosts": "example.com;admin.example.com"
}

وإذا عم تحدّث السيرفر كله، شوف كمان تحديثات .NET الطارئة يلي كتبنا عنها هالشهر.

ليش تسجيل الخروج والمعاينة بالقائمة كمان؟

لأنو الاتنين بيخلّوا جلسة مسروقة تعيش أطول من ما بتتوقع. حسب الإرشاد GHSA-4qmm-fhgv-vq9g، تسجيل الخروج كان يمسح الكوكي من المتصفح بس، والكوكي المنسوخ قبل الخروج بيضل شغّال لحد ما تنتهي صلاحيته.

ورمز معاينة الموقع ما كان ينتهي أبداً، ويضل صالح حتى بعد تغيير كلمة السر، لحد ما ينعطّل الحساب أو ينقفل أو ينحذف (GHSA-4vcm-wj6q-3pmg). وقصة صلاحيات بتتوسع من جوّا اللوحة مرّت عنا قبل بإضافة WordPress: مساهم بيرقّي حاله لمحرر.

من وين تبلّش هلق؟

حدّث النسخة أول شي، وبعدين سكّر الباب قدّام أسماء الـ host الغريبة، وشيّك إذا حدا عبث بإعدادات الدخول.

1. افتح ملف المشروع وشوف نسخة حزمة Umbraco.Cms.

2. إذا على 17، حدّث لـ 17.7.2؛ وإذا على 18، لـ 18.2.2.

3. إذا على 13، حدّث لـ 13.16.3 أو أحدث.

4. اضبط AllowedHosts حتى بعد التحديث، لأنو هيك ما بيوصل للتطبيق غير أسماء موقعك.

5. شيّك جدول umbracoOpenIddictApplications على أسماء غريبة، وعطّل أي حساب بتشك إنو رمز معاينته طلع لبرّا.

وإذا بدك حدا يفحص لوحة الإدارة ومسار الدخول بموقعك متل ما بيفحصهن مهاجم، هاد شغل مُحَصَّن.

وكل تحديثات الأمان يلي كتبنا عنها بمكان واحد: تحديثات أمنية.