كشف باحثون في الأمن السيبراني عن ثغرة أمنية بالغة الخطورة في Grist-Core، النسخة مفتوحة المصدر والمستضافة ذاتياً من قاعدة البيانات الجدولية Grist، يمكن أن تؤدي إلى تنفيذ أوامر عن بُعد (RCE) عبر صيغ الجداول. الثغرة، التي تحمل الرمز CVE-2026-24002 بدرجة خطورة 9.1، أُطلق عليها اسم Cellbreak من قبل مختبرات Cyera Research Labs.
كيف تتحول الصيغة إلى أداة اختراق
الباحث الأمني فلاديمير توكاريف أوضح أن صيغة خبيثة واحدة تكفي لتحويل الجدول إلى منصة اختراق، حيث يمكن للمهاجم تنفيذ أوامر نظام التشغيل أو تشغيل جافاسكربت في بيئة المضيف. هذا الخلل يُصنّف كحالة Pyodide sandbox escape، وهو النوع نفسه من الثغرات الذي أصاب منصة n8n مؤخراً (CVE-2025-68668). المشكلة تكمن في أن Grist يعتمد على أسلوب “القائمة السوداء” لمنع التعليمات، وهو أسلوب هش يسمح بالتحايل على القيود والوصول إلى وظائف حساسة.
جذور المشكلة التقنية
تعتمد Grist على تنفيذ صيغ بايثون داخل بيئة Pyodide، وهي توزيعة بايثون تعمل عبر WebAssembly داخل المتصفح. الهدف كان ضمان العزل، لكن التصميم سمح بالوصول إلى مكتبات مثل ctypes والتنقل عبر هرمية الأصناف في بايثون، ما أتاح الوصول إلى وظائف Emscripten غير المصرح بها. النتيجة: قدرة المهاجم على الوصول إلى ملفات النظام، كشف أسرار، أو تنفيذ أوامر مباشرة على الخادم.
التأثيرات المحتملة على المؤسسات
وفقاً لتوضيحات المشروع، إذا كان إعداد GRIST_SANDBOX_FLAVOR مضبوطاً على Pyodide، فإن فتح مستند خبيث قد يؤدي إلى تشغيل عمليات عشوائية على الخادم. هذا يمنح المهاجمين القدرة على سرقة بيانات اعتماد قواعد البيانات ومفاتيح الـ API، وقراءة ملفات حساسة، إضافة إلى إمكانية التحرك الجانبي داخل الشبكة. هذه السيناريوهات تجعل الثغرة أشبه بجسر مباشر بين منطق البيانات وتنفيذ أوامر المضيف، وهو ما يهدد البنية التحتية للمؤسسات بشكل خطير.
الحلول والتوصيات الأمنية
تمت معالجة الثغرة في الإصدار 1.7.9 الصادر في 9 يناير 2026، حيث نُقلت عملية تنفيذ صيغ Pyodide إلى بيئة Deno JavaScript runtime بشكل افتراضي. لكن الخطر يعود إذا قام المشغل بتعيين خيار GRIST_PYODIDE_SKIP_DENO=1، وهو إعداد يجب تجنبه خصوصاً في البيئات التي تتعامل مع صيغ غير موثوقة. للتخفيف المؤقت، يُنصح بتعيين متغير البيئة GRIST_SANDBOX_FLAVOR=gvisor.
الباحث توكاريف شدد على أن هذه الثغرة تعكس خطورة الاعتماد على بيئات عزل ضعيفة، مؤكداً أن “فشل الصندوق الرملي لا يعني مجرد خطأ تقني، بل اختراق كامل لطبقة البيانات.” هذا يبرز الحاجة إلى اعتماد استراتيجيات الدفاع المتعدد الطبقات بدلاً من الاعتماد على قوائم حظر قابلة للتحايل.
