Alienkeric

يقبل عميل `forge.tls` طريقة ضغط `compression method` في رسالة ServerHello لم يطلبها. عندما يتعامل العميل مع ServerHelloDone، تقوم الدالة `tls.createConnectionState()` برفض خوارزمية الضغط غير المدعومة عن طريق إلقاء خطأ (Error) ينتقل من `connection.process()`. يمكن لخادم خبيث أو مهاجم في المسار (on-path) تعديل بايت الضغط في رسالة ServerHello غير الموثقة قبل رسالة Finished الخاصة بالخادم لإنهاء عملية Node.js إذا لم يقم التطبيق بالتقاط الاستثناء. تشمل مسارات العميل المتأثرة الاستخدام المباشر لـ `forge.tls` و `forge.tls.wrapSocket` و `forge.http`. لا يؤثر هذا الخلل على السرية أو السلامة، كما أن خوادم `forge.tls` غير متأثرة.

تسمح ثغرة حقن SQL للمستخدمين الذين يمتلكون admin-token بقراءة قاعدة بيانات `history.db`. يحدث هذا عند تقديم قيم غير مفلترة لمعاملات الاستعلام `op` و `type=3`. من خلال إرسال حمولات UNION SELECT مصممة خصيصاً إلى نقاط النهاية 'searchHistory' و 'getHistoryItems'، يمكن للمهاجم استخراج عناوين ومسارات ومحتويات المستندات المحذوفة.

ExifReader is susceptible to a denial-of-service issue when parsing specially crafted HEIC or AVIF ISO-BMFF files. The problem occurs in the `getItems()` function within `src/image-header-iso-bmff-iloc.js`, where the parser trusts the `itemCount` and `extentCount` values from the `iloc` box. When the `offsetSize`, `lengthSize`, `baseOffsetSize`, and `indexSize` variables are set to zero, the buffer offset does not advance, but the parser continues to allocate extent objects in a nested loop. This can lead to the allocation of up to 4.3 billion objects, causing massive heap growth or exhausting system memory, which terminates the Node.js process. This affects web, desktop, or mobile applications that parse untrusted images.

An authenticated SQL injection exists in the 'fullTextSearchBlock' endpoint via the `method` query parameter. This allows attackers to use UNION SELECT statements to read the entire blocks table, which bypasses publish-access controls and exposes sensitive attributes and all document content.

An attacker can craft a PDF with a cyclic tree structure that triggers an infinite loop. This occurs when a writing code path utilizes the `TreeObject.insert child()` function in `pypdf/generic/ data structures.py`, causing it to follow `/Next` links indefinitely.

يحدث إبطال غير صحيح للجلسة لأن رموز الوصول JSON Web Tokens (JWT) تصدر بدون مطالبة `jti` (معرف JWT)، مما يمنع الإلغاء من جانب الخادم. ورغم إمكانية إدارة رموز التحديث، تظل رموز الوصول صالحة طوال مدة صلاحيتها (التي تبلغ ساعة واحدة بشكل افتراضي) حتى بعد قيام المستخدم بتسجيل الخروج أو تغيير كلمة المرور أو تلقي رمز جديد أو تعطيل حسابه. وهذا يسمح للمهاجم الذي سرق رمز الوصول بالحفاظ على الوصول الكامل إلى واجهة برمجة التطبيقات (API) حتى تنتهي صلاحية الرمز بشكل طبيعي.

توجد مشكلة حيث يقوم مدقق مخطط XSS `Security::detectXss()` بمعالجة محتوى الصفحة الخام قبل أن تتم معالجة Twig. إذا تم تمكين معالجة محتوى Twig عبر `twig content.process enabled: true`، فيمكن للمستخدم الذي يمتلك أذونات API لكتابة الصفحة تجاوز المدقق باستخدام عامل ربط السلاسل في Twig (~) لإنشاء معالجات الأحداث أو العلامات الخطرة أو البروتوكولات ديناميكيًا. ونظرًا لأن أداة التحقق لا ترى سوى تعبير Twig ولا ترى الناتج النهائي المعروض، يمكن تنفيذ جافا سكريبت تعسفي في متصفحات الزوار عند عرض المحتوى عبر `{{ page.content|raw }}`.

يوجد ثغرة تسمح بتجاوز ميزة تحميل الملفات في وحدة التحكم في الوسائط الخاصة بـ API. تقوم الدالة `validateFileExtension()` بفحص امتداد الملف النهائي فقط باستخدام `pathinfo($filename, PATHINFO EXTENSION)`، مما يسمح للمستخدم الذي يمتلك إذن `api.media.write` بتحميل ملفات ذات امتدادات مزدوجة، مثل shell.php.jpg، لتجاوز قائمة الحظر الخاصة بالامتدادات الخطرة. وقد يؤدي ذلك إلى تنفيذ تعليمات برمجية عن بُعد إذا قام خادم الويب بتنفيذ الملف الذي تم تحميله كملف PHP.

توجد ثغرة كتابة ملفات تعسفية في إضافة Form. يتم التحقق من المعلمة `process.save.filename` ضد تخطي المسار (path traversal) قبل معالجة Twig، ولكن لا يتم التحقق منها مرة أخرى بعد الرندرة. يتيح ذلك للمهاجمين إرسال بيانات نموذج تحتوي على تسلسلات تخطي المسار التي يتم معالجتها عبر قوالب Twig، مما يسمح لهم بكتابة ملفات تعسفية، بما في ذلك webshells بلغة PHP، في جذر الويب أو أدلة حساسة أخرى.

توجد مشكلة «قنبلة فك الضغط» في الدالة `ZipArchiver::extract()`. لا تفرض هذه الدالة أي قيود على عدد الملفات، أو عمق التداخل، أو الحجم الإجمالي للأرشيفات بعد فك الضغط. يمكن للمهاجم تقديم أرشيف ZIP مصمم خصيصًا يتم فك ضغطه ليستهلك كل مساحة القرص المتاحة، مما يؤدي إلى رفض الخدمة عن طريق استنفاد موارد التخزين.

يؤدي عدم كفاية عملية تنقية ملفات SVG التي يتم تحميلها عبر نقطة النهاية ’POST /api/v1/media‘ إلى السماح لمهاجم معتمد يتمتع بإذن `api.media.write` بتحميل ملف يحتوي على تعليمات جافا سكريبت تعسفية. تقوم الدالة `HandlesMediaUploads::processUploadedFile()` بالتحقق من صحة امتداد الملف فقط، ولا تستدعي الدالة `Security::sanitizeSVG()`. ونظرًا لأن الملف يتم تخزينه دون تعديل ويتم تقديمه بتنسيق `image/svg+xml`، فإن البرنامج النصي المضمن يتم تنفيذه في سياق جلسة عمل المسؤول الذي يفتح الملف، مما قد يؤدي إلى سرقة ملفات تعريف الارتباط واختطاف الجلسة.