العودة إلى لوحة التحكم
سجل الإفصاح عالي التأثير

كرينوكس في الميدان.

أرشيف تدقيق تقني يوثق الثغرات الأمنية وبيانات الاعتماد المكشوفة بداخل البني التحتية العامة.

7 أغسطس 2026
حرج اكتشاف ميداني حقيقي

facebook/react اكتشاف رمز وصول شخصي لـ GitHub ومفتاح Algolia مدمجين

أثناء إجراء فحوصات البنش مارك الميدانية لمستودعات الإنتاج العالمية باستخدام Crenox، تم اكتشاف رمزين مدمجين بداخل السورس كود لمشروع facebook/react الرسمي: رمز وصول شخصي (GitHub PAT) بداخل مهام Danger CI ومفتاح Algolia Search API بداخل حزمة React MCP server.

"نجحت Crenox في استخراج وتحديد سلاسل الـ PAT المدمجة (المقسمة عبر دمج النصوص) والرموز عالية العشوائية التي تتجاوز الفواحص التقليدية. تجدر الإشارة إلى أن السلسلة المسربة في المستودع قد تم إبطالها وتعطيلها تلقائياً بواسطة أنظمة أمان GitHub."

التحليل التقني

scripts/tasks/danger.js — السطر 16 
// Crenox Detection: signature_id="generic-token-key" / "github-pat"
const token = 'ghp_Uf**********3ZV1' + 'sGqu****************'; // GitHub PAT (Masked)

ملخص الأصول المكشوفة

الخطورة نوع الأصل المسار المكشوف
حرج GitHub Personal Access Token (PAT) scripts/tasks/danger.js
عالي Algolia Search API Key compiler/packages/react-mcp-server/src/utils/algolia.ts
12 يوليو 2026
حرج تم الإفصاح عنه بمسؤولية

Blooket Logo Blooket كشف مفتاح Firebase إنتاجي

أثناء الفحوصات المنهجية للمشاريع مفتوحة المصدر، تم تحديد مفتاح Firebase API إنتاجي مكشوف يخص منصة Blooket التعليمية. تم العثور على المفتاح مدمجاً بداخل سكريبت التعامل مع قاعدة البيانات من جانب العميل.

"يخلق هذا الانكشاف مخاطر استعلامات غير مصرح بها لقواعد البيانات، واستهلاك الموارد، وشكوكاً حول سلامة البيانات بسبب مفاتيح التفويض الموجودة لدى العميل."

التحليل التقني

floodGame.js — commit: 96193758 
const liveApp = firebase.initializeApp({
    apiKey: "AIzaSyCA-cTOnX19f6LFnDVVsHXya3k***********", // Masked
    authDomain: "blooket-2020.firebaseapp.com",
    projectId: "blooket-2020",
    databaseURL: fbShardURL
});

حالة المعالجة

تم إرسال تقرير أمني لفريق Blooket. تم تحديث قواعد Realtime Database لتقييد الوصول المباشر للعملاء، وتم إبطال الأسرار المسربة.

11 يوليو 2026
اختراق كامل تم التبليغ عنه

كشف إعدادات ومفاتيح TLS الخاصة بداخل demo-app-stream-org

حدد مسح أمني لبنية مرتبطة بالنطاق link12.ddns.net انكشافات خطيرة لبيانات الاعتماد، بما في ذلك ملفات بيئة بنصوص صريحة، وأسرار Rails للتشفير، ومفاتيح شهادات TLS خاصة نشطة بداخل سجل Git التاريخي.

"يسلط إدراج المفاتيح الخاصة بداخل التحكم في الإصدار الضوء على الأهمية البالغة للتحليل الساكن الآلي وفحوصات ما قبل التعهد لكشف الأسرار قبل رفعها."

ملخص الأصول المكشوفة

الخطورة نوع الأصل المسار المكشوف
حرج مفتاح شهادة TLS خاص .gitlab/.../nginx/certs/privkey.pem
حرج مفتاح وصول Azure Blob Storage backend/.env
حرج كلمة مرور تطبيق Gmail IMAP backend/.env
عالية Rails SECRET_KEY_BASE backend/.env
عالية رابط نسخ احتياطي داخلي مع عنوان IP config/initializers/backup.rb

سيناريوهات وناقلات الاستغلال

  • تنصت HTTPS: يمكن للمهاجمين اعتراض وفك تشفير حركة المرور أو انتحال النطاق link12.ddns.net.
  • التخزين السحابي: وصول كامل لتنزيل أو تعديل أو حذف كافة مرفقات التطبيق في حاويات Azure.
  • صندوق الوارد الإداري: وصول كامل للبريد الإلكتروني nico******************@gmail.com عبر IMAP، مما يتيح إعادة تعيين كلمات المرور للخدمات الثانوية.
  • تزوير ملفات تعريف الارتباط: تخطي بوابات المصادقة باستخدام مفتاح توقيع Rails السري لتزوير رموز الجلسات.

خطوات المعالجة

تم إعداد تقرير استشاري وتسليمه إلى مسؤول النظام. تشمل أولويات المعالجة الحرجة إبطال الشهادة، وتدوير مفاتيح Azure Storage، وإلغاء كلمة مرور التطبيق (App Password)، والإدارة المركزية للأسرار.