Akshatgit

An authenticated user can access credentials from another workspace by providing a credential UUID. This occurs because the system performs lookups using `findOneBy({ id: credentialId })` without verifying the `workspaceId` of the requesting user. This issue affects the following endpoints: - GET '/api/v1/openai-assistants' - GET '/api/v1/openai-assistants/:id' - POST '/api/v1/openai-assistants-file/upload/' - DELETE '/api/v1/assistants/:id' - GET '/api/v1/text-to-speech/voices' Exploitation allows an attacker to force the server to decrypt and utilize OpenAI or ElevenLabs API keys belonging to a different workspace.

يستخدم Langflow آلية اشتقاق مفاتيح ضعيفة وقابلة للعكس لتشفير البيانات المخزنة، مما قد يؤدي إلى الكشف عن جميع بيانات الاعتماد المخزنة.

يُتيح موجه `/api/v1/monitor` سبع نقاط نهاية تسمح بعمليات القراءة والكتابة والحذف على الموارد المملوكة للمستخدم، بما في ذلك الرسائل والجلسات ومخرجات البناء وسجلات معاملات نماذج اللغة الكبيرة (LLM). يفشل النظام في التحقق مما إذا كان الطالب المصادق عليه يمتلك المورد المستهدف، مما يؤدي إلى ثغرة «الإشارة المباشرة غير الآمنة إلى الكائن» (IDOR)، والمعروفة أيضًا باسم «التفويض المكسور على مستوى الكائن» (BOLA). يمكن للمستخدم المصادق عليه قراءة بيانات مستخدم آخر أو تعديلها أو إعادة تسميتها أو حذفها نهائيًا من خلال تقديم معرّف المورد المستهدف أو `flow id`. تشمل التفاصيل الفنية نقاط النهاية المعرضة للخطر التالية: - ’GET /api/v1/monitor/builds‘ و ’DELETE /api/v1/monitor/builds‘ باستخدام المتغير `flow id`. - ’DELETE /api/v1/monitor/messages‘ باستخدام المتغير `message ids`. - ’PUT /api/v1/monitor/messages/{message id}‘ باستخدام المتغير `message id`. - ’PATCH /api/v1/monitor/messages/session/{old session id}‘ باستخدام المتغير `old session id`. - ’DELETE /api/v1/monitor/messages/session/{session id}‘ باستخدام المتغير `session id`. - ’GET /api/v1/monitor/transactions‘ باستخدام المتغير `flow id`.

عند إنشاء `NodeVM` مع تعيين المتغير `nesting` إلى `true`، يمكن لرمز الصندوق الرملي (sandbox) استخدام `require(’vm2‘)` دون قيد أو شرط، بغض النظر عن تكوين `require` في الآلة الافتراضية الخارجية، بما في ذلك عندما يكون `require` مضبوطًا على `false`. يحدث هذا لأن الخيار `nesting: true` يتفاعل مع محلل الوحدات النمطية القديم بطريقة تتجاوز القيود بصمت. يمكن للمهاجم الاستفادة من الوصول إلى `vm2` لإنشاء `NodeVM` داخلي جديد بإعدادات `require` غير مقيدة لتنفيذ أوامر تعسفية لنظام التشغيل على المضيف. تؤثر هذه المشكلة على التطبيقات التي تُشغّل كودًا غير موثوق به داخل `NodeVM` مع `nesting: true`، مثل منصات تنفيذ الكود متعددة المستأجرين، وخدمات الدفاتر/REPL، وأنظمة المكونات الإضافية، وأدوات عزل CI.

Open WebUI هي منصة ذكاء اصطناعي ذاتية الاستضافة مصممة للعمل دون اتصال بالإنترنت. يوجد ثغرة في نقطة نهاية تحويل الكلام إلى نص، حيث يسمح حقل اسم الملف غير المُعقَّم لأي مستخدم مُصادق عليه، غير إداري، بتحفيز خطأ `FileNotFoundError`. ثم يتم إرجاع رسالة الخطأ، بما في ذلك المسار المطلق لـ `DATA DIR` الخاص بالخادم، في نص استجابة HTTP 400، مما يؤدي إلى الكشف عن المعلومات في عمليات النشر الافتراضية. تنشأ المشكلة عن عدم تطهير المسار عند استخراج امتداد الملف من اسم الملف وتكوين مسار الملف. وعلى وجه التحديد، تُستخدم الدالة `file.filename.split(”.“)[-1]` دون أي تنقية، ويتم ربط القيمة الناتجة بمسار نظام الملفات. وهذا يسمح للمهاجم بصياغة اسم ملف يحتوي على تسلسلات لاجتياز الدلائل (على سبيل المثال، `audio./etc/passwd`) للكشف عن المسار المطلق للخادم. توجد هذه الثغرة الأمنية في الملف `backend/open webui/routers/audio.py`، في السطر 1197، وتحدث عند محاولة فتح ملف يحمل اسمًا ضارًّا. ولا يمنع حارس نوع MIME حدوث هذه المشكلة.

تحتوي إصدارات Langflow من 1.0.0 إلى 1.8.1 على مشكلة تتمثل في أن نقطة نهاية واجهة برمجة التطبيقات (API) `/api/v1/files/images/{flow id}/{file name}` تقدم ملفات الصور دون مصادقة أو التحقق من الملكية. سيتمكن أي طلب غير مصدق عليه يحتوي على قيمتين معروفتين لـ `flow id` و`file name` من استرداد الصورة بنجاح، مع إرجاع استجابة HTTP 200. في بيئة متعددة المستأجرين، يمكن للمهاجم الذي يتمكن من اكتشاف أو تخمين قيمة `flow id` تنزيل الصور التي تم تحميلها بواسطة أي مستخدم دون الحصول على إذن. يُعد `flow id` معرّفًا فريدًا (UUID) قد يتم الكشف عنه من خلال استجابات واجهة برمجة التطبيقات (API) الأخرى. الوظيفة المعرضة للخطر هي `download image` الموجودة في `src/backend/base/langflow/api/v1/files.py:138-164`.

يحتوي Langflow، وهو أداة لإنشاء ونشر الوكلاء وسير العمل المدعومين بالذكاء الاصطناعي، على ثغرة أمنية تسمح للمهاجمين المصادق عليهم بكتابة ملفات في أي مكان على النظام المضيف، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد (RCE). لا تزال المشكلة الهيكلية الأساسية داخل `LocalStorageService` دون حل بسبب عدم وجود فحوصات احتواء الحدود في طبقة التخزين الأساسية. يعتمد النظام كليًّا على التبعية `ValidatedFileName` في طبقة HTTP، والتي تفشل في توفير الحماية ضد هذه المشكلة. وعلى وجه التحديد، فإن نقطة النهاية `POST /api/v2/files/` معرضة للخطر لأن اسم ملف التحميل متعدد الأجزاء يتجاوز حارس معلمة المسار. توجد الثغرة الأمنية في طبقتين: طبقة واجهة برمجة التطبيقات (API) (`src/backend/base/langflow/api/v2/files.py:162`) وطبقة التخزين (`src/backend/base/langflow/services/storage/local.py:114-116`). يتم استخراج اسم الملف مباشرةً من رأس `Content-Disposition` متعدد الأجزاء ويُستخدم في عملية ربط المسارات بشكل بسيط دون التحقق من صحته بشكل مناسب. يثبت نموذج إثبات المفهوم القدرة على كتابة ملف خارج دليل التخزين الخاص بالمستخدم باستخدام تقنيات اجتياز الدليل. قد يسمح الاستغلال الناجح للمهاجمين بالكتابة فوق ملفات النظام الحيوية، أو إدخال مكونات Python ضارة، أو اختراق أمن النظام.