34Selen

تفشل عقدة GraphQL في فرض قيود ”مجالات طلبات HTTP المسموح بها“ على بيانات الاعتماد المستندة إلى HTTP، بما في ذلك المصادقة عبر الرأس (Header Auth) والمصادقة الأساسية (Basic Auth) والمصادقة عبر الاستعلام (Query Auth) و OAuth. ويختلف هذا عن سلوك عقدة طلب HTTP. يمكن للمستخدم المصادق عليه الذي يمتلك أذونات لإنشاء أو تعديل سير العمل إعادة توجيه نقطة نهاية العقدة إلى خادم يخضع لسيطرته لاستخراج بيانات الاعتماد المقيدة. تؤثر هذه المشكلة بشكل خاص على الحالات التي تكون فيها بيانات الاعتماد مكونة بـ «مجالات طلبات HTTP المسموح بها» (Allowed HTTP Request Domains) ويمكن الوصول إليها من قبل مستخدمين ليسوا مالكي تلك البيانات.

يوجد ثغرة في تجاوز التفويض في ميزة ”التقييمات“ ضمن نقطة النهاية ’POST /workflows/{workflowId}/test-runs/new‘. يقوم النظام بتفويض الوصول بشكل غير صحيح باستخدام نطاق `workflow:read` بدلاً من نطاق `workflow:execute` المطلوب. يسمح هذا الخلل في التحكم في الوصول لمستخدم تمت مصادقته ولديه أدوار مشروع RBAC (التحكم في الوصول القائم على الأدوار) للقراءة فقط بتشغيل اختبار تقييم حقيقي. يؤدي هذا الإجراء إلى تنفيذ سير العمل عبر مشغل سير العمل الداخلي، مما قد يؤدي إلى مكالمات API صادرة غير مصرح بها، أو تغييرات في البيانات، أو آثار جانبية أخرى في الأنظمة المتصلة في المراحل اللاحقة.

يمكن للمستخدم المصادق عليه الذي يتمتع بأذونات لإنشاء أو تعديل سير العمل والوصول إلى بيانات اعتماد SecurityScorecard ذات المجالات المسموح بها المحدودة، تكوين عملية تنزيل تقرير عقدة SecurityScorecard لاستهداف عنوان URL يسيطر عليه المهاجم. تقوم العقدة بإرفاق رمز API الخاص بـ SecurityScorecard بالطلب الصادر، مما يسمح بإرسال بيانات الاعتماد إلى مضيف خارجي، متجاوزًا القيود المكونة، مما يؤدي إلى تسرب بيانات الاعتماد.

يوجد ثغرة في قائمة التحكم في الوصول (ACL) في مجلدات الفريق. يمكن للمستخدم الذي مُنح أذونات القراءة (READ) والإنشاء (CREATE)، ولكنه يفتقر إلى أذونات التحديث (UPDATE)، إعادة تسمية الملفات داخل مجلد الفريق دون إذن.

توجد ثغرة من نوع «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة في مكون «المشاريع». عندما تعرض طرق عرض التفاصيل الإدارية للحملات أو رسائل البريد الإلكتروني أو النماذج علامات المشاريع والنوافذ المنبثقة، يتم عرض أسماء المشاريع التي يدخلها المستخدم دون معالجتها بشكل صحيح. يمكن للمستخدم المصادق عليه الذي يمتلك أذونات إنشاء المشاريع أو تعديلها إدخال أحمال نصوص برمجية ضارة. وعندما يمرر المسؤول مؤشر الفأرة فوق علامة مرتبطة بمشروع تم اختراقه، يتم تنفيذ النص البرمجي في جلسة متصفحه، مما قد يسمح للمهاجم بتنفيذ إجراءات إدارية أو تغيير تكوينات النظام أو سرقة البيانات الحساسة.

تفشل نقطة نهاية WebSocket ”/chat“ التي تستخدمها ميزة ”Hosted Chat“ (الدردشة المستضافة) في عقدة ”Chat Trigger“ (مشغل الدردشة) في التحقق مما إذا كان الاتصال الوارد مخولًا للتفاعل مع عملية التنفيذ المستهدفة. يمكن لمهاجم بعيد غير مصدق عليه، يحدد معرّف تنفيذ صالح لسير عمل في حالة انتظار، أن يرتبط بتلك العملية، ويتلقى المطالبة المعلقة المخصصة للمستخدم الشرعي، ويرسل مدخلات عشوائية لاستئناف أو التأثير على سلوك سير العمل اللاحق.

n8n هي منصة لأتمتة سير العمل. عند تمكين المصادقة عبر بروتوكول الوصول الخفيف إلى الدليل (LDAP)، يقوم n8n تلقائيًا بربط هوية LDAP بحساب محلي موجود إذا كانت سمة البريد الإلكتروني في LDAP تتطابق مع البريد الإلكتروني للحساب المحلي. يمكن لمستخدم LDAP المصادق عليه، والقادر على التحكم في سمة البريد الإلكتروني الخاصة به في LDAP، ضبطها لتتطابق مع البريد الإلكتروني لمستخدم آخر، بما في ذلك البريد الإلكتروني للمسؤول، والحصول على وصول كامل إلى ذلك الحساب عند تسجيل الدخول. يستمر ربط الحساب حتى في حالة إعادة عنوان البريد الإلكتروني الخاص بـ LDAP إلى ما كان عليه، مما يؤدي إلى الاستيلاء الدائم على الحساب. يجب تكوين مصادقة LDAP وتفعيلها حتى يحدث ذلك.

Discourse هي منصة مناقشة مفتوحة المصدر. كان بإمكان المستخدمين من مستوى الثقة 4 (TL4) نشر مواضيع في فئات مخصصة للفريق باستخدام مؤقت المواضيع `publish to category`، متجاوزين بذلك ضوابط التفويض المقررة.

يوجد خلل في نظام التفويض في Apache Airflow قد يسمح لمستخدم مسجل الدخول يتمتع بأذونات محدودة للمهام بالاطلاع على سجلات المهام دون الحصول على التفويض اللازم. تؤثر هذه المشكلة على الأنظمة التي يمتلك فيها المستخدمون أذونات مخصصة تقيد الوصول إلى سجلات المهام، ولكنها تسمح في الوقت نفسه بالوصول إلى المهام نفسها.