0Xkakash1

A Server-Side Request Forgery (SSRF) issue exists in the webhooks feature. This allows staff users to probe internal hosts from the Ghost server. SSRF is a flaw that allows an attacker to induce the server-side application to make requests to an unintended location.

A server-side request forgery (SSRF) issue exists in the webhooks feature. This allows users with staff privileges to craft requests that enable the Ghost server to probe and access internal network resources.

كانت الدالة `parse options header` تقوم بتحليل رؤوس `Content-Disposition` و`Content-Type` باستخدام `email.message.Message`، الذي يطبق عملية فك التشفير وفقًا لمعايير RFC 2231/5987. وهذا يسمح لصيغ المعلمات الموسعة، مثل `filename*` و`name*` وأشكال الاستمرار (`filename*0` و`filename*1`)، بتجاوز المعلمات العادية عند وجود كليهما. ومع ذلك، فإن RFC 7578 §4.2 يحظر صراحةً استخدام صيغة `filename*` في `multipart/form-data`. وهذا يؤدي إلى تعارض في التفسير حيث قد تفسر المكونات الموجودة في المراحل الأولية (مثل جدران الحماية WAF أو الوكلاء أو البوابات) التي تتبع RFC 7578 أو لا تنفذ فك التشفير وفقًا لمعايير RFC 2231/5987 الرؤوس بشكل مختلف عن الخلفية. يمكن للمهاجم استغلال هذا الأمر لتهريب اسم حقل أو اسم ملف مختلف عبر أداة الفحص. يؤثر هذا على واجهات برمجة التطبيقات `parse options header` و`FormParser` و`create form parser` و`parse form`، كما يؤثر على Starlette/FastAPI عبر `request.form()`، مما يعرض القيم المهربة كأسماء حقول النموذج أو `UploadFile.filename`. تشمل العواقب المحتملة تجاوز ضوابط الوصول أو التحميل المستندة إلى أسماء الحقول أو أسماء الملفات، وعبور المسار إذا كان التطبيق يبني مسارات نظام الملفات من اسم الملف الذي تم تحليله دون تنقية، حيث يتم فك تشفير التسلسلات المشفرة بالنسب المئوية مثل `..%2F`.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Nhost الأقدم من 0.48.0 الوصف: يتضمن مسار رد الاتصال لمزود OAuth في خدمة المصادقة الخاصة بـ Nhost رمز التحديث مباشرةً في عنوان URL لإعادة التوجيه كمعلمة استعلام. وقد يؤدي ذلك إلى الكشف عن رمز التحديث في سجل تصفح المتصفح، وسجلات الوصول إلى الخادم، ورؤوس HTTP Referer، وسجلات الوكيل/شبكة توزيع المحتوى (CDN). رمز التحديث هو رمز يستخدم لمرة واحدة، وتوجد نقاط التسرب هذه في البنية التحتية أو الخدمات التي قام مطور التطبيق بدمجها. يقع الكود المعرض للخطر في `services/auth/go/controller/sign in provider callback get.go` داخل الدالة `signinProviderProviderCallback` (الأسطر 257-261)، حيث يُضاف رمز التحديث كمعلمة استعلام إلى عنوان URL لإعادة التوجيه. تؤثر هذه المشكلة على جميع مسارات مزودي OAuth (GitHub وGoogle وApple وغيرها). التوصيات: التحديث إلى الإصدار 0.48.0 أو أحدث.

A path traversal issue exists in the `serveStatic()` function. In Node.js deployments, the `event.url.pathname` is not normalized, allowing percent-encoded dot segments (%2e%2e) to be passed to `decodeURI()` and decoded into `../` sequences without proper sanitization. This allows an unauthenticated remote attacker to send crafted requests to endpoints served by `serveStatic()` to read arbitrary files located outside the intended static directory.

يتأثر SiYuan، وهو نظام لإدارة المعرفة الشخصية، بمشكلة خطيرة تسمح بـ ”البرمجة النصية عبر المواقع“ (XSS) التي يمكن أن تتصاعد إلى ”تنفيذ التعليمات البرمجية عن بُعد“ (RCE). يعرض Bazaar (سوق المجتمع) حقول بيانات تعريف الحزم، وتحديدًا ’displayName‘ و”description“، باستخدام قوالب نصية دون التهرب المناسب من HTML. وهذا يسمح لمؤلف الحزمة الخبيث بحقن تعليمات برمجية HTML وJavaScript تعسفية في هذه الحقول. عندما يتصفح أي مستخدم صفحة Bazaar، يتم تنفيذ هذا الكود المُحقن تلقائيًا. ونظرًا لتكوين SiYuan في Electron الذي يُفعّل `nodeIntegration: true` مع `contextIsolation: false`، فإن ثغرة XSS تتصاعد مباشرةً إلى تنفيذ كامل للكود عن بُعد (RCE) على نظام تشغيل الضحية، دون الحاجة إلى أي تفاعل من المستخدم سوى فتح علامة تبويب السوق. يوجد الكود المعرض للخطر في `app/src/config/bazaar.ts:275-277` و`app/electron/main.js:422-426`. يثبت نموذج إثبات المفهوم القدرة على تنفيذ أوامر تعسفية، مثل تشغيل ملف «calc.exe» أو إنشاء صفيحة عكسية (reverse shell)، بمجرد تصفح صفحة Bazaar. تشكل هذه الثغرة الأمنية خطرًا كبيرًا على سلسلة التوريد لمجتمع مستخدمي SiYuan بأكمله. يمكن للمهاجمين سرقة رموز API وملفات تعريف الارتباط الخاصة بالجلسة ومفاتيح SSH وبيانات اعتماد المتصفح وملفات عشوائية، أو تثبيت أبواب خلفية دائمة وبرامج الفدية. تؤثر هذه المشكلة على جميع المنصات المدعومة: Win

يحتوي ApostropheCMS على ثغرة في برنامج الوسيط الخاص بمصادقة الرموز المميزة لحامل (bearer token) الموجود في `@apostrophecms/express/index.js`. يسمح استعلام MongoDB غير صحيح باستخدام رموز الدخول غير المكتملة – حيث تم التحقق من كلمة المرور ولكن لم يتم استيفاء متطلبات المصادقة متعددة العوامل (MFA) – كرموز حامل مصادق عليها بالكامل. وهذا يتجاوز المصادقة متعددة العوامل (MFA) لأي نشر لـ ApostropheCMS يستخدم `@apostrophecms/login-totp` أو متطلبات تسجيل الدخول المخصصة `afterPasswordVerified`. تنبع المشكلة من استخدام عامل MongoDB `$ne: []` في الاستعلام، والذي يطابق الرموز بشكل غير صحيح مع متطلبات غير تم التحقق منها. بالإضافة إلى ذلك، يمنع خطأ منفصل في `@apostrophecms/login/index.js` حذف الرموز غير المكتملة، مما يؤدي إلى تفاقم الثغرة الأمنية. يمكن للمهاجم الذي يمتلك اسم المستخدم وكلمة المرور للضحية، ولكنه يفتقر إلى رمز TOTP الخاص بها، استغلال هذا الخلل للحصول على وصول كامل إلى واجهة برمجة التطبيقات (API). يمكن الوصول إلى نقطة نهاية واجهة برمجة التطبيقات **/api/v1/@apostrophecms/page** باستخدام الرمز المميز (bearer token) المخترق. المعلمة المعرضة للخطر هي الرمز المميز نفسه، الذي يتم تمريره في رأس `Authorization`.

SiYuan هو نظام لإدارة المعرفة الشخصية. تستخدم وظيفة ”renderREADME“ في الخلفية ”lute.New()“ دون استدعاء ”SetSanitize(true)“، مما يسمح بمرور HTML الخام المضمن في Markdown دون تعديل. ثم تقوم الواجهة الأمامية بتعيين HTML المعروض إلى ”innerHTML“ دون أي تنقية إضافية. يمكن لمؤلف حزمة خبيثة تضمين JavaScript تعسفي في ملف README الخاص به، والذي يتم تنفيذه عندما ينقر المستخدم لعرض تفاصيل الحزمة. ونظرًا لأن تكوين Electron في SiYuan يُفعّل «nodeIntegration: true» مع «contextIsolation: false»، فإن هذا الاستغلال عبر المواقع (XSS) يتصاعد مباشرةً إلى تنفيذ كامل للرمز عن بُعد (RCE). الدالة الخلفية المتأثرة هي `renderREADME` الموجودة في `kernel/bazaar/package.go:635-645`. تحدث عملية التعيين في الواجهة الأمامية في `app/src/config/bazaar.ts:607`. ويوجد تكوين Electron في `app/electron/main.js:422-426`. تم استغلال هذه الثغرة عبر Bazaar (سوق المجتمع) عن طريق إرسال حزمة ضارة تحتوي على ملف README مُعد خصيصًا. يمكن للمهاجمين الاستفادة من عناصر HTML متنوعة مثل `img` و`svg` و`details` و`picture` لإخفاء الحمولات الخبيثة. قد يؤدي الاستغلال إلى التنفيذ الكامل للرمز عن بُعد، وسرقة البيانات، وتثبيت أبواب خلفية دائمة.

تتعرض الدالة `createEventStream` في H3 لحقن أحداث مرسلة من الخادم (SSE) بسبب عدم وجود عملية تنقية لرموز الأسطر الجديدة داخل الدالتين `formatEventStreamMessage()` و`formatEventStreamComment()`. يمكن للمهاجم الذي يتحكم في أي جزء من حقل رسالة SSE – `id` أو `event` أو `data` أو التعليق – حقن أحداث SSE عشوائية إلى العملاء المتصلين. يعتمد بروتوكول SSE على أحرف الأسطر الجديدة كمحددات للحقول، وعلى الأسطر الجديدة المزدوجة كفواصل للأحداث. ويسمح غياب عملية تنقية أحرف الأسطر الجديدة للمهاجمين بحقن حقول وأحداث جديدة، والتلاعب بسلوك إعادة الاتصال، وتجاوز معرّف الحدث الأخير (Last-Event-ID). وقد يؤدي ذلك إلى حقن محتوى عبر المستخدمين، وهجمات التصيد الاحتيالي، وتزوير الأحداث، وحجب الخدمة من خلال محاولات إعادة اتصال مكثفة، والتلاعب بإعادة تشغيل الأحداث عند إعادة الاتصال. تكمن المشكلة في ملف `src/utils/internal/event-stream.ts`، الأسطر 170-187.

يعتمد معالج تحميل الملفات في خدمة التخزين الخاصة بـ Nhost على رأس `Content-Type` الذي يقدمه العميل دون التحقق من نوع MIME الفعلي للملف. وهذا يسمح للمهاجم بتحميل ملفات بنوع MIME تم التلاعب به، متجاوزًا أي قيود تستند إلى أنواع MIME التي تم تكوينها على وحدات التخزين. المكون المعرض للخطر هو خدمة `services/storage`، وتحديدًا داخل الدالة `getMultipartFile` (الأسطر 48-70) في الملف `upload files.go`. تتخطى الدالة عملية الكشف عن نوع MIME إذا قدم العميل قيمة `Content-Type` غير `application/octet-stream`، وتستخدم مباشرةً القيمة المقدمة من العميل. وقد يؤدي ذلك إلى ارتباط بيانات تعريفية غير صحيحة لنوع MIME بالملف الذي تم تحميله، مما قد يتسبب في مشكلات تتعلق بكيفية معالجة الملف من قبل الأنظمة المستهلكة. المعلمة المعرضة للثغرة هي `Content-Type`.

يحتوي SiYuan، وهو نظام لإدارة المعرفة الشخصية، على ثغرة في نقطة نهاية WebSocket الخاصة به (’/ws‘) تسمح بإجراء اتصالات غير مصدقة عند استخدام معلمات URL محددة (’?app=siyuan&id=auth&type=auth‘). هذا التجاوز، الذي كان الغرض منه في الأصل هو أن تحافظ صفحة تسجيل الدخول على اتصال مباشر بالنواة، يمكّن أي عميل خارجي، بما في ذلك المواقع الإلكترونية الخبيثة عبر اتصالات WebSocket عبر الأصول، من الاتصال وتلقي جميع أحداث الدفع من الخادم في الوقت الفعلي. تكشف هذه الأحداث عن بيانات وصفية حساسة للمستندات، بما في ذلك عناوين المستندات، وأسماء دفاتر الملاحظات، ومسارات الملفات، وجميع عمليات الإنشاء والقراءة والتحديث والحذف (CRUD) التي يقوم بها المستخدمون المصادق عليهم. يسمح غياب التحقق من صحة رأس Origin لموقع ويب ضار بالاتصال بصمت بمثيل SiYuan المحلي للضحية ومراقبة نشاط تدوين الملاحظات الخاص به. يقع المكون المعرض للخطر في الملف `kernel/server/serve.go:728-731` داخل الدالة `serveWebSocket()` ومعالجها `HandleConnect`.

SiYuan هو نظام لإدارة المعرفة الشخصية. يقوم مكون شجرة الملفات على الأجهزة المحمولة (`MobileFiles.ts`) بعرض أسماء دفاتر الملاحظات باستخدام `innerHTML` دون تطبيق إجراءات التهرب من HTML بشكل صحيح عند معالجة أحداث WebSocket من نوع `renamenotebook`. أما إصدار سطح المكتب (`Files.ts`) فيستخدم `escapeHtml()` بشكل صحيح لنفس العملية. وهذا يسمح للمستخدم المصادق عليه الذي يتمتع بامتيازات إعادة تسمية دفاتر الملاحظات بإدخال كود HTML و JavaScript تعسفي، والذي سيتم تنفيذه على أي عميل جوال يعرض شجرة الملفات. تم تكوين بيئة Electron بقيمة `nodeIntegration: true` و`contextIsolation: false`، مما يمنح كود JavaScript المُدرج وصولاً كاملاً إلى وظائف Node.js. وهذا يؤدي إلى تصعيد مشكلة البرمجة النصية عبر المواقع (XSS) المخزنة إلى تنفيذ كامل للكود عن بُعد. كما يُستخدم تخطيط الجوال في تطبيق Electron المكتبي عندما تكون النافذة ضيقة، مما يجعل هذه المشكلة قابلة للاستغلال على سطح المكتب أيضًا. تشارك نقطة نهاية واجهة برمجة التطبيقات (API) الخلفية `POST /api/notebook/renameNotebook` في هذه العملية، ويقع الكود المعرض للخطر في `app/src/mobile/dock/MobileFiles.ts:77`. يقوم المكون الخلفي `kernel/api/notebook.go:104-116` بإرسال أسماء غير مُعالجة.

يفشل SiYuan في تنقية بيانات تعريف الحزم ومحتوى ملف README داخل سوق Bazaar. وهذا يتيح للمؤلفين الخبثاء إدخال كود HTML وJavaScript تعسفي عبر الحقول `displayName` أو `description` أو `README`. ونظرًا لأن التطبيق مبني على Electron مع تمكين `nodeIntegration` — وهو إعداد يسمح لـ JavaScript بالوصول إلى واجهات برمجة تطبيقات Node.js — فإن البرامج النصية المُحقنة يمكنها الخروج من سياق المتصفح لتنفيذ أوامر نظام التشغيل، مما يؤدي إلى تنفيذ تعليمات برمجية عن بُعد على جهاز أي مستخدم يتصفح السوق.

يفشل SiYuan في تنقية بيانات تعريف الحزم ومحتوى ملف README داخل سوق Bazaar. وهذا يسمح للمؤلفين الخبثاء بحقن كود HTML وJavaScript تعسفي في الحقول `displayName` أو `description` أو `README`. ونظرًا لأن التطبيق مبني على Electron مع تمكين إعداد `nodeIntegration`، فإن حمولات البرمجة النصية عبر المواقع (XSS) هذه يمكنها تجاوز سياق المتصفح لتنفيذ أوامر نظام التشغيل، مما يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد على جهاز أي مستخدم يتصفح السوق.

Dagu هو محرك سير عمل مزود بواجهة مستخدم ويب مدمجة. عند تهيئته باستخدام المصادقة الأساسية عبر HTTP (DAGU AUTH MODE=basic)، يمكن الوصول إلى جميع نقاط نهاية أحداث إرسال الخادم (SSE) دون الحاجة إلى بيانات اعتماد. وهذا يسمح للمهاجمين غير المصادق عليهم بالوصول إلى بيانات تنفيذ DAG في الوقت الفعلي، وتكوينات سير العمل، وسجلات التنفيذ، وحالة قائمة الانتظار، متجاوزين بذلك المصادقة التي تحمي واجهة برمجة التطبيقات REST. تنبع المشكلة من الدالة `buildStreamAuthOptions()`، التي تُرجع بنية مصادقة مع تعيين `BasicAuthEnabled` على «true» بينما يكون `AuthRequired` افتراضيًا على «false». تسمح البرمجيات الوسيطة للمصادقة بالطلبات غير المصادق عليها عندما تكون قيمة `AuthRequired` هي false. تشمل نقاط نهاية SSE المتأثرة ’/api/v1/events/dags‘، و'/api/v1/events/dags/{fileName}’، و‘/api/v1/events/dag-runs'، و'/api/v1/events/dag-runs/{name}/{dagRunId}'، '/api/v1/events/dag-runs/{name}/{dagRunId}/logs'، و'/api/v1/events/queues'، و'/api/v1/events/docs-tree'، و'/api/v1/events/docs/*'. يمكن للمهاجم حصر سير العمل، ومراقبة التنفيذ في الوقت الفعلي، وقراءة سجلات التنفيذ، ورسم خريطة للبنية التحتية.

يتأثر Parse Server، وهو نظام خلفي مفتوح المصدر قابل للنشر على البنى التحتية لـ Node.js، بمشكلة تتعلق بتعداد المستخدمين. تُرجع نقطة نهاية واجهة برمجة التطبيقات (API) `/verificationEmailRequest` استجابات خطأ مختلفة بناءً على ما إذا كان عنوان البريد الإلكتروني مسجلاً أم تم التحقق منه بالفعل أم غير موجود. يمكن للمهاجم إرسال طلبات باستخدام عناوين بريد إلكتروني متنوعة وتحليل رموز الخطأ لتحديد عناوين البريد الإلكتروني المرتبطة بحسابات المستخدمين الحالية. تؤثر هذه المشكلة على أي نشر لـ Parse Server يتم فيه تمكين التحقق من البريد الإلكتروني (`verifyUserEmails: true`). يقدم الإصلاح خيار `emailVerifySuccessOnInvalidEmail`، الذي يعرض، عند تمكينه، استجابة نجاح عامة لجميع طلبات التحقق عبر البريد الإلكتروني، مما يمنع التمييز بين عناوين البريد الإلكتروني الصالحة والمُثبتة وغير الموجودة. يتضمن الإصلاح أيضًا تعزيزًا للتحقق من صحة المدخلات لخيار `resetPasswordSuccessOnInvalidEmail` وفحوصات أمنية للتحذير عند تعطيل إجراءات التخفيف من جرد المستخدمين.

تسمح الدالة `parseBody()` باستخدام المفتاح ` proto ` عند تمكين خيار النقطة. وهذا يتيح لأسماء حقول النماذج المصممة خصيصًا إنشاء كائنات تحتوي على خصائص ` proto `. وإذا تم دمج هذه النتائج التي تم تحليلها في كائنات JavaScript عادية باستخدام أنماط دمج غير آمنة، فقد يؤدي ذلك إلى تلوث النموذج الأولي (prototype pollution)، مما يسمح للمهاجم بتعديل سلوك الكائن.

يتأثر Parse Server، وهو نظام خلفي قابل للنشر على البنى التحتية لـ Node.js، بمشكلة تتمثل في عدم إلغاء صلاحية رموز الاسترداد الخاصة بالمصادقة متعددة العوامل (MFA) عبر TOTP بعد استخدامها. وهذا يسمح للمهاجم الذي يحصل على رمز استرداد واحد بالمصادقة مرارًا وتكرارًا بصفته المستخدم المتأثر دون أن يتم إبطال صلاحية الرمز، مما يقوض التصميم المقصود للاستخدام لمرة واحدة ويضعف أمان الحسابات المحمية بالمصادقة متعددة العوامل. تنشأ هذه المشكلة عند تمكين المصادقة متعددة العوامل عبر TOTP لحساب مستخدم، ويقوم Parse Server بإنشاء رمزي استرداد للاستخدام لمرة واحدة كخطة بديلة في حالة عدم توفر رمز TOTP.

Parse Server هو نظام خلفي مفتوح المصدر يمكن نشره على البنى التحتية التي تعمل بنظام Node.js. يمكن للمهاجم الذي يمتلك حق الوصول إلى المفتاح الرئيسي حقن كود SQL ضار من خلال أسماء الحقول المصممة خصيصًا والمستخدمة في قيود الاستعلامات عندما يتم تكوين Parse Server مع PostgreSQL. يتم تمرير اسم الحقل داخل عامل الاستعلام `$regex` إلى PostgreSQL باستخدام استيفاء السلسلة غير المعلمة، مما يتيح التلاعب باستعلام SQL. يتجاوز حقن SQL هذا طبقة التجريد في Parse Server ويعمل مباشرةً على مستوى قاعدة البيانات. تؤثر هذه المشكلة على عمليات النشر التي تستخدم PostgreSQL. لم يتم ذكر نقطة نهاية واجهة برمجة التطبيقات (API) صراحةً. المعلمة المعرضة للخطر هي اسم الحقل المستخدم في عامل الاستعلام `$regex`.

يحتوي Parse Server، وهو نظام خلفي مفتوح المصدر قابل للنشر على البنى التحتية لـ Node.js، على ثغرة في عملية التحقق من صحة الحقول المحمية. تقتصر عملية التحقق من الصحة على مفاتيح الاستعلام ذات المستوى الأعلى فقط، مما يسمح للمستخدمين المصادق عليهم بالتحايل على الحماية عن طريق تضمين قيود الاستعلام على الحقول المحمية داخل العوامل المنطقية. وهذا يتيح الوصول غير المصرح به واستخراج قيم الحقول المحمية، حيث توجد الحقول المحمية الافتراضية في جميع عمليات نشر Parse Server.