Akokonunes

The ActivityAMP AMP message renderer in `app/src/main/java/eu/faircode/email/ActivityAMP.java` enables JavaScript in its WebView but fails to completely sanitize untrusted message HTML. For hosts not on the allowlist, the process of removing the `src` attribute from script elements leaves inline scripts in the document and fails to reject event-handler attributes or `javascript:` URLs on other elements. This allows a crafted AMP email to execute arbitrary JavaScript when a recipient opens the message and enables the AMP toggle. The executed script can read the message DOM (Document Object Model), exfiltrate message data, and display phishing overlays within the message-body area.

Stored cross-site scripting occurs in asset serving because the extension blocklist is incomplete and fails to include script-capable file types. This allows attackers to upload files with extensions such as `.xht`, `.ehtml`, `.xsl`, `.xbl`, or `.rdf` that resolve to executable media types. Consequently, JavaScript can be executed to steal API tokens and compromise workspaces.

عند تكوين البرنامج باستخدام مصادقة الوكيل (`auth.method=proxy`)، يثق البرنامج بشكل غير صحيح في رؤوس الهوية الواردة من المصدر دون التحقق من أن الطلبات تنشأ من وكيل موثوق به. يمكن لمهاجم غير مصدق عليه ولديه وصول مباشر إلى الخادم أن ينتحل صفة أي مستخدم، بما في ذلك المسؤول، عن طريق إرسال رأس HTTP مزور. علاوة على ذلك، يؤدي إدخال اسم مستخدم غير موجود في الرأس إلى إنشاء حساب مستخدم جديد تلقائيًا، مما يسمح بإنشاء حسابات غير مصرح بها. ويؤدي ذلك إلى الاستيلاء الكامل على الحساب الإداري والاختراق الكامل لإدارة الملفات من جانب الخادم.

يقوم التطبيق بتسجيل نظام ارتباط عميق مخصص `org.traccar.client://config`، والذي يسمح بالتعديل الخفي لإعدادات التكوين الدائمة دون الحاجة إلى تأكيد أو إخطار من المستخدم. يمكن للمهاجم استخدام رابط مُعدّ خصيصًا يتم إرساله عبر رسالة SMS أو بريد إلكتروني أو صفحة ويب أو تطبيق آخر لاختطاف معلمات تتبع GPS، بما في ذلك عنوان URL للخادم ومعرف الجهاز والدقة والمسافة والفاصل الزمني. وهذا يتيح إعادة التوجيه السري لبيانات القياس عن بُعد عبر GPS في الوقت الفعلي إلى خادم يتحكم فيه المهاجم بأقصى دقة وتكرار، مع استمرار التغييرات حتى بعد إعادة تشغيل الجهاز.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Directus الأقدم من 11.16.1 الوصف يُعتبر Directus عرضة لمشكلة إعادة التوجيه المفتوحة من خلال المعلمة `redirect` في صفحة `/admin/tfa-setup`. قد يتم إعادة توجيه المسؤول الذي لم يقم بتكوين المصادقة الثنائية (2FA) إلى عنوان URL يسيطر عليه المهاجم بعد إتمام عملية إعداد المصادقة الثنائية، حيث يفتقر التطبيق إلى التحقق من صحة وجهة إعادة التوجيه. ويمكن استغلال هذه الثغرة في هجمات التصيد الاحتيالي التي تستهدف مسؤولي Directus. التوصيات قم بالتحديث إلى الإصدار 11.16.1 أو أحدث.

Cloud CLI (المعروف أيضًا باسم Claude Code UI) هو واجهة مستخدم للكمبيوتر المكتبي والأجهزة المحمولة لـ Claude Code و Cursor CLI و Codex و Gemini-CLI. تقوم نقطة النهاية `/api/user/git-config` بإنشاء أوامر شل باستخدام قيم `gitName` و`gitEmail` التي يقدمها المستخدم، وتمريرها إلى `child process.exec()`. يتم وضع المدخلات بين علامتي اقتباس مزدوجتين، ولكن يتم تجنب علامات الاقتباس المزدوجة فقط، مما يترك علامات الاقتباس العكسية (`)، واستبدال الأوامر `$()`، وتسلسلات `` عرضة للتفسير داخل bash. وهذا يسمح للمهاجمين المصادق عليهم بتنفيذ أوامر تعسفية لنظام التشغيل من خلال نقطة نهاية تكوين git. ويوجد الكود المعرض للخطر في ملف `server/routes/user.js` (السطران 58-59). ويتضمن الاستغلال حقن أوامر ضارة عبر المعلمة `gitName` باستخدام استبدال الأوامر، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد (RCE) بصفتك مستخدم عملية Node.js. يمكن تعديل تكوين git على مستوى الخادم، مما يؤثر على جميع عمليات git. وعند اقتران ذلك بتجاوز لمصادقة JWT، قد يؤدي ذلك إلى تنفيذ كود عن بُعد (RCE) دون مصادقة.

لا تتطلب نقطة النهاية `/objects/playlistsFromUser.json.php` أي مصادقة أو تفويض، مما يسمح لمهاجم غير مصادق عليه بتعداد معرّفات المستخدمين واسترداد معلومات قوائم التشغيل، بما في ذلك أسماء قوائم التشغيل ومعرّفات الفيديو وحالة قائمة التشغيل، لأي مستخدم على المنصة. تقبل نقطة النهاية معلمة `users id` وتستعلم مباشرةً من قاعدة البيانات دون أي تحقق من المصادقة أو التفويض. قد يؤدي ذلك إلى انتهاكات للخصوصية، وتعداد المستخدمين، وجمع المعلومات، وهجمات موجهة محتملة. الملف المعرض للثغرة هو `objects/playlistsFromUser.json.php`. تُستخدم الدالة `getAllFromUser()` لاسترداد بيانات قوائم التشغيل دون التحقق من صلاحية وصول المستخدم.

يحتوي البرنامج على ثغرة أمنية تتعلق بـ «البرمجة النصية عبر المواقع» المنعكسة (XSS) في نقطة النهاية `/rss/tag/`. يتم تضمين معلمة المسار `tag uuid` مباشرةً في استجابة HTTP دون إجراء الهروب المناسب من علامات HTML. ونظرًا لأن Flask يفترض أن `text/html` هو النوع الافتراضي لاستجابات السلاسل النصية، يتم تنفيذ جافا سكريبت المُحقن بواسطة المتصفح. كانت هذه المشكلة موجودة في الإصدار 0.54.1، الذي عالج ثغرة XSS مشابهة في `/rss/watch/`، لكنه لم يحل المشكلة في نقطة نهاية RSS الخاصة بالعلامات. يتطلب الهجوم رمز وصول RSS صالحًا، وهو متاح للجمهور على الصفحة الرئيسية. قد يؤدي الاستغلال الناجح إلى سرقة ملفات تعريف الارتباط الخاصة بالجلسة، واختراق الحساب، وهجمات التصيد الاحتيالي. يُقدَّر أن حوالي 500 عملية نشر متاحة للجمهور قد تأثرت بهذه الثغرة. يقع الكود المعرض للخطر في `changedetectionio/blueprint/rss/tag.py`، في السطر 36. المعلمة المعرضة للخطر هي `tag uuid`.

NocoDB هو برنامج لإنشاء قواعد بيانات على شكل جداول بيانات. يمكن للمستخدم المصادق عليه الذي يمتلك صلاحية «المحرر» (Editor) حقن كود HTML تعسفي في خلايا النص المنسق. ويتم ذلك عن طريق التحايل على محرر TipTap وإرسال كود HTML الخام عبر واجهة برمجة التطبيقات (API). تسمح واجهة برمجة التطبيقات (API) المعرضة للثغرة بحقن كود ضار عبر خلايا النص المنسق.

توجد ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة في الخلية الافتراضية لـ «فورمولا» في NocoDB، وهو برنامج يُستخدم لإنشاء قواعد بيانات على شكل جداول بيانات. يتم عرض نتائج «فورمولا» التي تحتوي على أنماط URI::() باستخدام v-html دون التعقيم اللازم، مما يسمح بتنفيذ HTML المُحقن.

يعكس التطبيق معلمة المسار `UUID` مباشرةً في نص استجابة HTTP دون تشفير HTML في نقطة النهاية single-watch RSS. نظرًا لأن Flask يعيّن إرجاع text/html بشكل افتراضي للردود التي تتكون من سلاسل نصية بسيطة، فإن المتصفح يقوم بتحليل وتنفيذ جافا سكريبت المُدرج. وقد يؤدي ذلك إلى هجمات برمجة عبر المواقع (XSS) محتملة.