امتیاز ۱۰.۰ در نرم‌افزار پایانه سوخت

سایسا روز ۲۹ سپتامبر هشدار ICSA-26-272-02 را منتشر کرد که ده آسیب‌پذیری را در سامانه مدیریت پایانه TMS7 و TopHAT شرکت Toptech Systems، هر دو در نگارش 7.6.3، پوشش می‌دهد.

سرخط خبر CVE-2026-71379 است با امتیاز ۱۰.۰ در هر دو CVSS نگارش ۳.۱ و ۴.۰. توصیف سایسا جای تفسیر کمی می‌گذارد: نقطه انتهایی صدور فایل به هر مهاجم بدون احراز هویتی اجازه می‌دهد با فرستادن درخواست POST ساختگی، جدول‌های دلخواه پایگاه داده را صادر کند. پشت آن CVE-2026-70356 با امتیاز ۹.۱ و ۹.۴ نشسته است، بارگذاری نامحدود فایل — نقطه انتهایی بررسی نوع در سمت سرور را اعمال نمی‌کند، پس مهاجم می‌تواند PHP دلخواه بارگذاری و اجرا کند.

بعد پنج نقص جداگانه تزریق SQL، هر یک با امتیاز ۹.۰ در نگارش ۳.۱: در جست‌وجوی تامین‌کننده (CVE-2026-72510)، سوابق ممیزی (CVE-2026-63713)، جست‌وجوی صفحه اصلی (CVE-2026-68954)، صف تراکنش (CVE-2026-68068) و گزارش‌های محصول (CVE-2026-72507). مسئله تثبیت نشست، CVE-2026-71302، امتیاز ۷.۱ می‌گیرد چون برنامه شناسه‌های نشست ارائه‌شده از سوی کاربر را می‌پذیرد و پس از احراز هویت شناسه نشست را از نو نمی‌سازد. یک تزریق eval و یک نقص اسکریپت‌نویسی میان‌سایتی با شدت پایین فهرست را کامل می‌کنند.

Toptech همه را در انتشار ۷.۸ اصلاح کرد و روز ۲۰ ژوئیه، بیش از دو ماه پیش از هشدار عمومی، مستقیم به مشتریان خبر داد. یافته‌ها از ساچین شتی و روی دویسترس در Shell CyberDefence آمدند. بخش‌های فهرست‌شده انرژی و شیمیایی و سامانه‌های حمل‌ونقل‌اند.

کاری که این نرم‌افزار می‌کند دلیل اهمیت این امتیازهاست. TMS7 بارگیری هیدروکربن را در پایانه‌های سوخت اندازه‌گیری و مجاز می‌کند، پس پایگاه داده‌ای که نگه می‌دارد هم به ایمنی مربوط است و هم تجاری حساس — جابه‌جایی‌ها، مشتریان، حجم‌ها، مجوزها. صدور بدون احراز هویت، افشای همه آن است، و بارگذاری PHP روی آن یعنی یک نمونه قابل دسترسی از اینترنت، نفوذ کامل بدون نیاز به هیچ اعتبارنامه‌ای است.

فاصله دوماهه میان اطلاع به مشتری و هشدار عمومی به خودی خود ارزش توجه دارد. بهره‌بردارانی که هشدارهای فروشنده را می‌خوانند در ژوئیه می‌دانستند. آنهایی که به سایسا تکیه می‌کنند در پایان سپتامبر فهمیدند، و ۱۰.۰ امتیازی نیست که بخواهید دیر از آن باخبر شوید.