Alexwaira

Two endpoint families fail to verify that nested resource identifiers belong to the workspace and project specified in the URL. An authenticated user can read or modify estimates from another workspace via the PATCH '/api/workspaces/{slug}/projects/{project id}/estimates/{estimate id}/' endpoint, or inject comments into an issue from another workspace via the POST '/api/workspaces/{slug}/projects/{project id}/issues/{issue id}/comments/' endpoint. While the `ProjectEntityPermission` function verifies membership in the workspace and project from the URL, the `estimate id` and `issue id` variables are fetched by primary key without confirming the same scope.

Authenticated users with a Viewer role or higher can perform SQL injection by providing specially crafted telemetry field-key names. The application fails to properly escape these names in the 'v5 query range' API endpoint, allowing attackers to use backticks and quotes to break out of identifiers and string literals. This enables the execution of arbitrary ClickHouse SQL commands to access system tables and exfiltrate data.

يقوم مديرو عمليات الإدخال/الإخراج (I/O) في DuckDB وSnowflake وBigQuery وDeltaLake بإنشاء جمل WHERE في لغة SQL عن طريق إدراج قيم مفاتيح التقسيم الديناميكية في الاستعلامات دون استخدام أحرف الهروب. يمكن للمستخدم الذي يمتلك إذن «Add Dynamic Partitions» إنشاء مفتاح تقسيم يقوم بإدخال تعليمات SQL عشوائية، والتي يتم تنفيذها على الخلفية المستهدفة لقاعدة البيانات باستخدام بيانات اعتماد مدير الإدخال/الإخراج. تؤثر هذه المشكلة فقط على عمليات النشر التي تستخدم أقسامًا ديناميكية؛ ولا تتأثر خطوط الأنابيب التي تستخدم أقسامًا ثابتة أو أقسامًا ذات نافذة زمنية.

يتضمن Portainer إعدادًا أمنيًا لتعطيل عمليات ربط التثبيت (bind mounts) للمستخدمين غير الإداريين، بهدف منع المستخدمين العاديين من ربط مسارات المضيف بالحاويات عبر واجهة برمجة تطبيقات Docker التي يتوسط فيها Portainer. ومع ذلك، فإن آلية التنفيذ كانت تفتش فقط مصفوفة `HostConfig.Binds` وتتجاهل المصفوفة المكافئة `HostConfig.Mounts`. ونظرًا لأن كلا الحقلين قابلان للتبادل في برنامج Docker الخفي، يمكن للمستخدم المصادق عليه الذي يتمتع بحقوق إنشاء الحاويات تجاوز هذا القيد عن طريق إرسال إدخال من النوع `bind` ضمن `HostConfig.Mounts` في نقطة النهاية ’POST /containers/create‘. وهذا يسمح للمستخدم بربط أي مسار مضيف بحاويته، مما قد يمنحه حق الوصول للقراءة أو الكتابة إلى نظام ملفات المضيف بصفته مستخدم برنامج Docker الخفي (عادةً ما يكون `root`). قد يؤدي ذلك إلى كشف الملفات الحساسة، أو اختراق الحاويات الأخرى الموجودة على نفس المضيف، أو الوصول الكامل إلى واجهة برمجة تطبيقات Docker (Docker API) في حالة تركيب مقبس Docker.