Alijonov Alisher

توجد ثغرة تتعلق بحقن أوامر نظام التشغيل في روتين إنشاء الصور المصغرة عند تحميل الوسائط. تقوم الدالة `Media.generateThumbnail()` الموجودة في `src/Server/Entity/Resource/Media.js` بإنشاء مسار ملف مؤقت باستخدام `Path.extname(filename)` وتمريره دون إزالة الأحرف الخطرة إلى أمر شل يتم تنفيذه عبر `AppService.exec()`. ونظرًا لأن مرشح نوع MIME في `getMIMEType()` (الموجود في `src/Common/utilities.js`) يقطع الامتدادات عند أول حرف «?» بينما لا تفعل `Path.extname()` ذلك، يمكن للمستخدم المصادق عليه الذي يتمتع بنطاق موارد الوسائط تجاوز عمليات التحقق من نوع الصورة. باستخدام اسم ملف مثل `x.jpg?$(command)`، يمكن للمهاجم تنفيذ أوامر تعسفية لنظام التشغيل ضمن سياق عملية Node.js عبر نقطة النهاية POST ’/api/{project}/{environment}/media/new‘.

يحتوي مكون Git deployer على ثغرة في حقن أوامر نظام التشغيل. تستخدم الدالة `pullRepo()` الموجودة في `src/Server/Entity/Deployer/GitDeployer.js` الدالة `AppService.exec()` لتشغيل أمر شل يقوم بإدراج قيمة الفرع المُعدة دون إجراء الهروب المناسب. وعلى الرغم من أن الدالة `validate()` ترفض الأقواس المفردة، إلا أنها تفشل في تصفية أحرف الشل الخاصة الأخرى مثل `;` و`&&` و`|` والعلامات المائلة العكسية و`$()`. يمكن للمهاجم الذي يمتلك أذونات تكوين إعدادات أداة نشر Git تحديد قيمة فرع ضارة تؤدي إلى تنفيذ أوامر عشوائية تلقائيًا أثناء عمليات أداة النشر، مثل حفظ المحتوى أو تحميل الوسائط.

تفشل ميزة إدارة الملفات في لوحة الإدارة في تقييد عمليات تحميل الملفات الخطيرة بشكل صحيح. يستخدم النظام قائمة سوداء ثابتة في ملف `data/inc/files.php` تتحقق من آخر 4-5 أحرف من اسم الملف، لكنها تتجاهل الامتداد `.php8`. يمكن للمسؤول المصادق عليه تحميل ملف بامتداد `.php8`، والذي يتم تخزينه دون تعديل. على الخوادم التي تعمل بنظام PHP 8.x، يقوم خادم الويب بتنفيذ هذا الملف كملف PHP، مما يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد.

توجد ثغرة لتجاوز عملية المصادقة في مسار تنزيل المرفقات. تقبل الدالة `Download()`، الموجودة في `domain/attachment/endpoint.go`، معلمة الاستعلام `secure`، لكنها تتحقق فقط من أن المعلمة ليست فارغة، بدلاً من التحقق من صحتها مقارنةً بقيمة مخزنة. ونتيجة لذلك، فإن إدخال أي سلسلة غير فارغة في المعلمة `secure` يسمح للمهاجم بتجاوز المصادقة وتنزيل المرفقات من أي مؤسسة.