Alibek Baxtiyarov

يمكن للمستخدم المصادق عليه الذي يمتلك أذونات إنشاء الفواتير إدخال حمولات HTML أو JavaScript في حقل `terms` الخاص بفاتورة أو عرض أسعار. ويحدث ذلك لأن التطبيق يعرض هذا الحقل في بوابة العميل باستخدام توجيه إخراج خام دون تنقية HTML. يقوم ملف `StoreInvoiceRequest.php` بإزالة أحرف الأسطر الجديدة فقط ولا يقوم بتنقية محتوى HTML. يمكن للمهاجم استغلال هذه الثغرة باستخدام نقطة نهاية واجهة برمجة التطبيقات (API) ’PUT /api/v1/invoices/{id}‘ لتعيين المتغير `terms`، مما يؤدي إلى تنفيذ البرنامج النصي في متصفح العميل، وهو ما قد يؤدي إلى سرقة ملف تعريف الارتباط الخاص بالجلسة والاستيلاء على الحساب.

يسمح محرك القواعد (Rules Engine) للمستخدمين المصادق عليهم بإنشاء قواعد تحتوي على نصوص برمجية مدمجة بلغة Go أو Lua يتم تنفيذها من جانب الخادم عند وصول رسائل إنترنت الأشياء (IoT). يستخدم محرك البرامج النصية Go، الموجود في `re/golang.go`، مترجم Yaegi ويكشف عن مكتبة Go القياسية الكاملة، بما في ذلك `os` و`net/http`. يقتصر التحقق من الصحة على تعبير عادي (regex) يحظر استدعاءات `panic()` وgoroutines، مما يترك وظائف خطيرة مثل `os.ReadFile()` و`os.WriteFile()` و`os.Remove()` و`os.Environ()` قابلة للوصول. يفتقر محرك البرامج النصية Lua، الموجود في `re/lua.go`، إلى التحقق من صحة المدخلات ويقوم بتحميل المكتبات مسبقًا، مما يتيح الوصول التعسفي إلى قاعدة البيانات (`db`) وعمليات الإدخال/الإخراج للملفات (`ioutil`) وتزوير الطلبات من جانب الخادم (SSRF) عبر عميل HTTP، وعبور المسار (`filepath`). ونتيجة لذلك، يمكن لمستخدم معتمد ذي امتيازات منخفضة إجراء عمليات قراءة/كتابة عشوائية للملفات، وتسريب متغيرات البيئة، والوصول إلى قاعدة البيانات، وتنفيذ هجمات SSRF ضد الخدمات الصغيرة الداخلية.