كان من الممكن أن يُدرج نموذج التواصل محتواه في عنوان الصفحة.

النطاق الفعلي للمراجعة

شيفرة HTML وJavaScript للموقع وإعدادات الاستضافة على Azure والنطاقات والبيئات وأسماء إعدادات التطبيق وتعيينات الأدوار الظاهرة للجلسة. اقتصرت قراءة Azure على مورد الموقع والصلاحيات المنطبقة عليه. لم تُستخدم قيم الأسرار في التدقيق.

يوجد النموذج في صفحتي التواصل وطلب التدقيق. يقتصر دوره على إعداد مسودة في تطبيق بريد الزائر، ولا يُفترض أن يرسل البيانات إلى خادم لجمعها.

أُجريت اختبارات الفشل على نسخة محلية بنص اصطناعي. اقتصرت الفحوص العامة على قراءة HTTP غير تخريبية. لم يشمل النطاق أنظمة أطراف أخرى أو قواعد بيانات عملاء أو اختبارات تحميل.

النتيجة المؤكدة: السلوك الافتراضي للمتصفح

لم يحدّد النموذج الأصلي طريقة الإرسال أو وجهته. كان JavaScript يعترض الإرسال عادةً لفتح رابط mailto. إذا حُجب السكربت أو لم يتوفر، أمكن للمتصفح إرسال طلب GET إلى الصفحة الحالية مع قيم الحقول في سلسلة الاستعلام.

/before.html?need=application&message=AUDIT-SYNTHETIQUE-AUCUNE-DONNEE-REELLE&timing=&budget=

لوحظ هذا الرابط في المتصفح المحلي بعد تعبئة النموذج المأخوذ من الشيفرة الفعلية وإرساله، مع إزالة السكربتات لمحاكاة عدم توفرها.

الأثر والشروط

خطر على سرية البيانات في ظروف محددة، مع أولوية متوسطة للتصحيح. قد يظهر النص المدخل في سجل المتصفح وسجلات الطلبات لدى الأنظمة التي تعالج الرابط. وقد تؤدي مشاركة الرابط إلى كشف النص أيضاً. يظل الطلب موجّهاً إلى موقع INOBIC؛ ولم يثبت نقل البيانات إلى طرف آخر.

الشرط اللازم هو فشل معالج JavaScript ثم إرسال يحتوي على بيانات. لم تُجمع أدلة على تسرب سابق أو وصول فعلي إلى السجلات. ولم تُمنح درجة CVSS رقمية دون تحليل أوسع للسياق.

تصحيح بثلاث طبقات

1. تهيئة تمنع الإرسال عند الفشل: يكون النموذج مخفياً في HTML، ولا يظهر إلا بعد ربط معالجات الأحداث. ولا يعتمد إخفاؤه على ملف CSS وحده، إذ قد يستخدم المتصفح نسخة قديمة منه من الذاكرة المؤقتة.
2. سلوك HTML صريح: يُحدَّد POST صراحةً بدلاً من GET الافتراضي. ويستمر معالج الأحداث، عند عمله بصورة طبيعية، في منع إرسال النموذج عبر HTTP وإعداد مسودة البريد فقط.
3. حماية في استجابة HTTP: يحظر توجيه CSP ‏form-action none إرسال نماذج HTML حتى لو ظهر النموذج دون معالجه.

يبقى رابط البريد المباشر ظاهراً دون JavaScript. أُضيف إصدار إلى رابط السكربت لتجنّب نسخة قديمة مخزّنة. كما صُحّحت فواصل الأسطر في المسودة التي كانت تظهر سابقاً كرموز حرفية.

اختبار التصحيحات

• قبل التصحيح: تظهر العلامة الاصطناعية في الرابط بعد الإرسال دون سكربتات.
• بعد التصحيح، دون سكربتات: يبقى النموذج مخفياً ويظل التواصل المباشر بالبريد متاحاً.
• بعد التصحيح، أثناء التشغيل العادي: يظهر النموذج، ويُحفظ نوع الخدمة المختار، ويمكن نسخ الملخص. تظهر فواصل الأسطر بصورة صحيحة، ولا تُدرج البيانات المدخلة في عنوان طلب HTTP.
• دفاع متعدد الطبقات: يُظهر اختبار محلي النموذج عمداً دون معالج JavaScript؛ فتمنع CSP الإرسال الافتراضي الذي كان المتصفح سيجريه.
• اختبارات آلية: ترميز النص، ومنع الإرسال الافتراضي للنموذج، وترتيب التهيئة، ونجاح النسخ إلى الحافظة، وإتاحة النسخ اليدوي عند رفض الوصول إليها.

لا تشمل هذه الاختبارات جميع المتصفحات أو تسليم البريد. لم تُرسل أي رسالة أثناء التحقق.

فحوص أخرى وحدودها

احتوى الموقع وقت المراجعة على ملفّي JavaScript للتطبيق، دون مكتبات JavaScript خارجية. لم يُعثر فيهما على عمليات إدراج ديناميكي لمحتوى HTML أو استدعاءات eval. ولم تُظهر الفحوص المحددة أي أسرار مكشوفة، لكنها لا تغني عن مراجعة سجل التغييرات بالكامل.

أعادت خمسة مسارات محددة لملفات إعدادات ومستودع وAPI الحالة 404. كانت نطاقات Azure للموقع صالحة، ولم تكن هناك إعدادات تطبيق مهيأة على هذا المورد. لا تثبت هذه الملاحظات غياب جميع الملفات المكشوفة.

تقيّد CSP أيضاً السكربتات والاتصالات والإطارات. تبقى الأنماط المضمّنة مسموحة للحفاظ على الصفحات القائمة، وهو قيد متروك عمداً ومعلن. أُوقفت صلاحيات ميزات المتصفح غير المستخدمة.

تحتاج الصلاحيات الموروثة المستخدمة لإدارة Azure إلى مراجعة وفق مبدأ الحد الأدنى من الصلاحيات. تبقى التفاصيل في التقرير الخاص، ولم تُعدّل صلاحيات الاشتراك خلال المهمة. ولا تشمل المراجعة بيئة المؤسسة في Entra ID بأكملها.

أدلة منزوعة المعلومات الحساسة وخطوات إعادة التجربة

لا تحتوي المواد المنشورة إلا على شيفرة الموقع العامة وبيانات اصطناعية وفروق الإعدادات ونتائج الاختبارات. تُستبعد معرّفات الاشتراك والمستخدمين ومعلومات الوصول والجلسات.

نزّل ملفات الحالة وأدوات إعادة التجربة

• نتائج الاختبارات ونطاقها
• مقارنة تغييرات JavaScript
• مقارنة تغييرات إعدادات حماية HTTP
• بصمات الأدلة

حدّد نطاق مراجعة تطبيقك ←

ممارسات تدقيق موثّقة بالأدلة

تصريح مكتوب، وفحوص تستند إلى المخاطر، وجمع الأدلة اللازمة فقط، والتحقق من التصحيحات. وتوثّق منهجيتنا أيضاً الفحوص التي لم تُجرَ والمخاطر التي لم تُعالج بعد.