كشفت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) عن ثغرتين في تطبيق Viidure Dashcam لنظام أندرويد في 29 سبتمبر 2026، من بينها ثغرة بأعلى درجة خطورة تكشف بيانات اعتماد مُدمجة بشكل ثابت في الشيفرة المُجمَّعة للتطبيق للوصول إلى التخزين السحابي.
ما الذي تم اكتشافه
تنشأ الثغرة CVE-2026-96587، المصنّفة بدرجة CVSS تبلغ 10.0، عن استخدام بيانات اعتماد ثابتة تمنح وصولاً كاملاً للقراءة والتعديل والحذف إلى الواجهة الخلفية للتخزين السحابي للمنصة، بما في ذلك البرامج الثابتة (firmware) وملفات التطبيق التنفيذية. وتنشأ ثغرة ثانية، CVE-2026-94204 (بدرجة CVSS تتراوح بين 7.5 و8.7 حسب إصدار نظام التقييم)، عن سوء ضبط حافظة تخزين سحابية مضبوطة على السماح بالقراءة العامة، مما يعرّض سجلات المستخدمين ولقطات الداشكام المباشرة وحزم التطبيق وملفات البرامج الثابتة لأي شخص على الإنترنت. ويُنسب الفضل في الإبلاغ عن الثغرتين إلى وكالة سيسا للباحث بوغراهان كاراهان Bugrahan Karahan.
من يتأثر بذلك
تشمل النشرة الاستشارية الإصدار 3.3.1.260403 من تطبيق Viidure Dashcam لأندرويد والإصدارات الأقدم، المنتشر عالمياً ضمن قطاع أنظمة النقل كبنية تحتية حيوية. وبما أن بيانات الاعتماد المكشوفة وحافظة التخزين تمثلان بنية تحتية مشتركة على مستوى المنصة بأكملها، فإن الثغرتين تُعدّان نظاميتين وليس مقتصرتين على أجهزة فردية، وقد تؤثران على كل مستخدمي التطبيق.
إجراءات التخفيف
قالت سيسا إن شركة Viidure لم تستجب لمحاولات التنسيق معها، ولا يوجد حالياً أي تصحيح متاح. وتنطبق التوجيهات المؤقتة المعتادة للوكالة: تقليل التعرّض على الشبكة، وعزل الأجهزة المتصلة عن شبكات الأعمال، واستخدام شبكات VPN لأي وصول عن بُعد ضروري. ويوصي باحثو الأمن أيضاً بتجنّب تخزين اللقطات الحساسة عبر التطبيق، والنظر في إزالة التطبيق إلى حين صدور إصلاح.
ولم يُسجَّل حتى الآن أي استغلال علني لأي من الثغرتين، لكن اجتماع أعلى درجة ممكنة على مقياس CVSS مع عدم استجابة الشركة المصنّعة يترك المستخدمين المتأثرين دون جدول زمني واضح للمعالجة. يمكن متابعة مزيد من مستجدات أجهزة الداشكام والأجهزة المتصلة عبر أرشيف أخبار التقنية في SectechMedia.