Alcls01111

يوجد تكرار غير خاضع للرقابة في الدالة `formDataToJSON` عند معالجة أسماء حقول `FormData` التي تحتوي على أجزاء من الأقواس متداخلة بعمق. يمكن للمهاجم تزويد `FormData` بأسماء حقول تحتوي على آلاف الأقواس المتداخلة لاستنفاد مكدس استدعاءات JavaScript، مما يؤدي إلى حدوث خطأ `RangeError`. ويؤدي ذلك إلى فشل الطلب أو إنهاء العملية في التطبيقات التي لا تتعامل مع الاستثناء، مما ينتج عنه رفض الخدمة. تؤثر هذه المشكلة على واجهة برمجة التطبيقات `axios.formToJSON(formData)`، وعملية الاستيراد `formToJSON`، والملف `lib/helpers/formDataToJSON.js`، و`transformRequest` الافتراضي عند إرسال `FormData` بنوع محتوى `application/json`. يتم تشغيل الثغرة الأمنية عبر الدالة `buildPath()`، التي تعالج أجزاء المسار بشكل متكرر دون فرض حد أقصى للعمق.

عند استدعاء الدالة `fetch()`، يقوم بيئة التشغيل بالتحقق من صحة اسم المضيف الوجهة وفقًا لقواعد `--deny-net`، لكنه يفشل في إعادة التحقق من عناوين IP التي يُحل إليها اسم المضيف. وهذا يسمح لبرنامج نصي يتحكم فيه المهاجم باستخدام اسم نطاق مصمم خصيصًا يجتاز الفحص الأولي لاسم المضيف ولكنه يُحل إلى عنوان IP مرفوض، مما يؤدي فعليًّا إلى تجاوز قواعد عزل الشبكة. وقد يؤدي ذلك إلى وصول غير مصرح به إلى المضيفات المحظورة، مثل `localhost` أو الخدمات الداخلية، خاصةً عند تشغيل كود غير موثوق به أو كود تابع لجهة خارجية.

عند فتح اتصال WebSocket، يقوم بيئة التشغيل بالتحقق من صحة اسم المضيف الوجهة وفقًا لقواعد `--deny-net`، لكنه يفشل في إعادة التحقق من عناوين IP التي يُحل إليها اسم المضيف. وهذا يسمح لبرنامج نصي يتحكم فيه المهاجم باستخدام اسم نطاق مصمم خصيصًا يجتاز فحص اسم المضيف ولكنه يُحل إلى عنوان IP مرفوض، متجاوزًا قواعد عزل الشبكة. وقد يؤدي ذلك إلى اتصالات غير مصرح بها بمضيفات كان المستخدم ينوي حظرها، مثل `localhost` أو الخدمات الداخلية، ربما عبر تابع خبيث أو تم اختراقه.

توجد ثغرة في مكون NoScript تسمح بتنفيذ البرامج النصية عبر المواقع (XSS)، حيث يقوم المكون بكتابة محتوى «slot» إلى `innerHTML` دون إجراء عملية «escaping» مناسبة. وهذا يسمح للمهاجمين بحقن نصوص برمجية ضارة عبر بيانات غير موثوق بها في فتحات NoScript، مثل معلمات `route.query`. يتم تنفيذ هذه النصوص البرمجية في سياق المستند عندما يتم إغلاق علامة noscript ضمناً بواسطة علامات script.

تقبل الدالة `reloadNuxtApp()` المسارات النسبية للبروتوكول، مثل //evil.com. تتجاوز هذه المسارات فحص بروتوكول البرنامج النصي وتُحل إلى عنوان URL عبر الأصول استنادًا إلى بروتوكول الصفحة الحالية. وهذا يسمح للمهاجمين بإدخال مسارات تعيد توجيه المستخدمين إلى مضيفات يسيطر عليها المهاجمون، والتي يمكن استخدامها للتصيد الاحتيالي وسرقة رموز ترخيص OAuth.

يفشل Nuxt في التحقق من صحة عناوين URL التي تدعم البرامج النصية في خيار `navigateTo` open، مما يسمح بتنفيذ البرامج النصية من جانب العميل. عندما يتم تمرير مدخلات يتحكم فيها المستخدم إلى `navigateTo`، يمكن للمهاجمين توفير عناوين URL تبدأ بـ `javascript:` عبر المعلمة `open` لتنفيذ نصوص برمجية عشوائية داخل مصدر التطبيق.

عند تشغيل خادم التطوير على نظام Linux، يرتبط خادم vite-node IPC (الاتصال بين العمليات) بمقبس Unix ذي مساحة اسم مجردة دون قيود على الأذونات. وهذا يسمح للمستخدمين المحليين بتحديد المقبس والاتصال به. يمكن للمستخدمين المقيمين على نفس النظام الذين لا يتمتعون بامتيازات استغلال معالج طلبات الوحدة النمطية غير المحمي لقراءة ملفات عشوائية، مثل `.env` ومفاتيح SSH، من خلال مسار المكونات الإضافية SSR (العرض من جانب الخادم). لا تتأثر إصدارات الإنتاج لأن خادم IPC يعمل فقط أثناء التطوير.

يحتوي Nuxt على ثلاث ثغرات أمنية تتعلق بمعالجة عناوين URL الخاصة بالتنقل من جانب العميل عبر الدالتين `navigateTo()` و`reloadNuxtApp()`. أولاً، توجد إعادة توجيه مفتوحة من جانب الخادم في `navigateTo()` حيث تسمح حالات تجاوز توحيد المسار، مثل استخدام `/..//evil.com` أو `/.//evil.com`، للمهاجمين بالالتفاف على فحوصات المضيف الخارجي. ويؤدي ذلك إلى قيام المتصفح بتحويل إعادة التوجيه إلى مضيف يسيطر عليه المهاجم عبر رأس Location أو meta-refresh، مما قد يتيح التصيد الاحتيالي وسرقة رمز التفويض OAuth. ثانيًا، توجد مشكلة في تنفيذ البرامج النصية من جانب العميل في `navigateTo()` عند استخدام الخيار `open`. يفشل المعالج في تطبيق فحوصات بروتوكول البرامج النصية، مما يسمح لأهداف مثل `javascript:...` بالتنفيذ في منشأ التطبيق، مما يؤدي إلى «التنفيذ المتبادل عبر المواقع» (XSS) المنعكس، وهو تنفيذ البرامج النصية الخبيثة في متصفح الضحية. ثالثًا، توجد إعادة توجيه مفتوحة في `reloadNuxtApp()` عبر المتغير `path`. تتجاوز المسارات النسبية للبروتوكول مثل `//evil.com` فحوصات البروتوكول ويتم تعيينها إلى `window.location.href`، مما يتسبب في إعادة توجيه عبر الأصول.

يمكن لمستخدم معتمد تنفيذ أوامر تعسفية لنظام التشغيل على النظام المضيف من خلال وظيفة تحميل ملفات Docker. تحدث هذه المشكلة لأن المعلمة `destinationPath` لا تخضع لعملية تنقية صحيحة ويتم إدراجها مباشرةً في سلسلة أوامر شل. باستخدام أحرف خاصة في شل مثل ; أو "، يمكن للمهاجم تجاوز الأمر المقصود `docker cp`.