كشفت شركة SEC Consult عن اكتشاف عدة ثغرات أمنية خطيرة في برنامج WorkExaminer Professional من تطوير EfficientLab، وهو أحد أشهر حلول مراقبة الموظفين في بيئات العمل. هذه الثغرات — المُسجلة تحت المعرفات CVE-2025-10639 وCVE-2025-10640 وCVE-2025-10641 — تُمكّن المهاجمين من التحكّم الكامل في النظام وجمع صور للشاشة وضربات المفاتيح دون علم المستخدمين أو المسؤولين.
ثغرات متعددة تتيح اختراق الخوادم
وفقًا لتقرير SEC Consult، يمكن للمهاجم الموجود على نفس الشبكة استغلال غياب التحقق من الهوية في جانب الخادم للحصول على صلاحيات إدارية غير موثوقة على خادم WorkExaminer Professional، ما يمنحه القدرة على الوصول إلى إعدادات الخادم وبياناته الحساسة. كما تتيح إحدى الثغرات تنفيذ أوامر عن بُعد على الأجهزة المرتبطة بالنظام.
بيانات غير مشفّرة وتنصّت محتمل
من بين أبرز المخاطر التي تم توثيقها أن البيانات المتبادلة بين وحدة التحكم، والعميل المراقِب، والخادم تُنقل دون تشفير، ما يجعلها عرضة لاعتراضها من أي مهاجم يمتلك وصولاً إلى حركة المرور الشبكية. هذا الخلل يعني أن معلومات حساسة — كأنشطة المستخدمين أو تفاصيل تسجيل الدخول — يمكن مراقبتها أو سرقتها بسهولة عبر “التنصّت على الأسلاك” (Man-in-the-Middle).
غياب الإصلاح واستمرار المخاطر
حتى لحظة الكشف، لم تُصدر EfficientLab أي تحديثات أمنية لمعالجة هذه الثغرات، ما يضع المؤسسات التي تعتمد على WorkExaminer Professional في موقف خطر، خاصة تلك التي تستخدمه في شبكات غير معزولة أو تعتمد عليه لمراقبة نشاط موظفيها عن بُعد.
