Alpetgexha

WWBN AVideo before 24.0 contains a cross-site request forgery vulnerability in legacy endpoints like playlistStatus.php that bypass the .json.php-only autoCSRFGuard() check. Attackers can lure logged-in users to a page with an auto-submitting form to make private playlists public, remove playlist videos, or forge video suggestions.

**اسم البرنامج المصاب والإصدارات المتأثرة** Grav Git Sync الإصدارات 1.0.2 through 3.4.12 **Description** يمكن لمحرري المحتوى المصرح لهم تنفيذ أوامر نظام التشغيل عن طريق حقن استبدالات shell في حقول الملف الشخصي. يحدث هذا عندما يكون وضع المؤلف `gravuser` أو `gravfull` مفعلًا، مما يسمح للمهاجمين بتعيين اسم مستخدم أو اسم كامل أو بريد إلكتروني خبيث. تصل هذه المدخلات إلى دالة PHP `exec()` عبر أمر `git commit --author` مما يؤدي إلى تنفيذ الأوامر بصلاحيات حساب خادم الويب. **Recommendations** تحديث Grav Git Sync إلى إصدار أحدث من 3.4.12.

**اسم البرنامج المصاب والإصدارات المتأثرة** Grav Guestbook plugin الإصدارات من 0.5.0 إلى 0.5.1 **Description** توجد مشكلات تتعلق بنقص التفويض وتزوير الطلبات عبر المواقع (CSRF) في إجراءات إدارة المسؤول. تزوير الطلبات عبر المواقع هو خلل يقوم فيه المهاجم بخداع متصفح الضحية لتنفيذ إجراء غير مرغوب فيه على موقع آخر. يمكن للمستخدمين المصرح لهم الذين يفتقرون إلى إذن `admin.guestbook` أو المواقع الخارجية التي تستغل جلسة المشرف عبر طلبات GET التي تفتقر إلى nonce (رمز فريد يستخدم لمنع هجمات إعادة التشغيل)، حذف أو الموافقة على إدخالات سجل الزوار من خلال إجراءات `delete` و `approve` و `approveAll`. **Recommendations** تحديث Grav Guestbook plugin إلى إصدار أحدث من 0.5.1.

**اسم البرنامج المصاب والإصدارات المتأثرة** إضافة Grav API (grav-plugin-api) الإصدارات السابقة لـ 1.0.36 **الوصف** يحدث خطأ في التحقق من صحة الجلسة لأن وظيفة `SessionAuthenticator` لا تفرض حالة الحساب. يسمح هذا للحسابات المعطلة بالحفاظ على الوصول إلى واجهة برمجة التطبيقات (API) من خلال إعادة استخدام جلسة متصفح مصرح بها بالفعل أو جلسة "تذكرني" لاستدعاء نقاط نهاية API حتى تنتهي صلاحية الجلسة، مما يتجاوز عملية إلغاء الصلاحية من قبل المشغل. **التوصيات** تحديث إضافة Grav API (grav-plugin-api) إلى الإصدار 1.0.36 أو إصدار أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** إضافة Grav Login OAuth (grav-plugin-login-oauth) الإصدارات السابقة لـ 1.4.3 **الوصف** تقوم الإضافة بإنشاء حسابات OAuth كمستخدمين عاديين باستخدام اسم مستخدم محدد وهو `<provider>.<id>` وتعيين كلمة مرور عبارة عن هاش MD5 غير مملح لمعرف المزود. ونظرًا لأن تسجيل الدخول بكلمة المرور يظل مفعلًا، يمكن للمهاجمين عن بُعد غير المصرح لهم الذين يعرفون أو يخمنون معرف المزود إعادة إنشاء هذه الاعتمادات وتسجيل الدخول، مما يمنحهم تحكمًا إداريًا في الحسابات ذات الصلاحيات العالية. **التوصيات** تحديث إضافة Grav Login OAuth (grav-plugin-login-oauth) إلى الإصدار 1.4.3 أو إصدار أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** إضافة Grav Guestbook الإصدارات السابقة لـ 0.5.2 **Description** يحدث ثغرة cross-site scripting مخزنة لأن معالجات AJAX Load more و Admin Load all تقوم بإدراج حقلي `author` و `message` المخزنين في DOM كـ HTML غير مفلتر عبر jQuery. يسمح هذا للزوار غير المصرح لهم بإرسال علامات يتم تنفيذها في متصفحات الزوار الآخرين، وفي الإصدارين 0.5.0 و 0.5.1، يتم التنفيذ ضمن جلسات إدارة المشرفين. **Recommendations** تحديث إضافة Grav Guestbook إلى الإصدار 0.5.2 أو إصدار أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Grav Star Ratings الإصدارات 2.0.1 through 2.0.3 **Description** يسمح فقدان التفويض للزوار غير المصرح لهم بالتصويت من خلال تجاوز قيود `vote access` وفرض القراءة فقط على جانب العميل. يمكن للمهاجم استخدام الـ nonce المجهول الذي تطلقه دالة `getData()` لإرسال الأصوات مباشرة إلى دالة `addVote()`، مما يؤدي إلى التلاعب بالتقييمات المقيدة أو المعطلة ومخرجات التقييم الإجمالي. **Recommendations** تحديث Grav Star Ratings إلى إصدار أحدث من 2.0.3.

**اسم البرنامج المصاب والإصدارات المتأثرة** Grav Data Manager plugin الإصدارات 1.4.0 through 1.4.5 **Description** يسمح فقدان التفويض للمهاجمين غير المصرح لهم بحذف ملفات البيانات المخزنة من خلال تكامل Admin الكلاسيكي. من خلال إرسال طلب يحتوي على المعلمة `delete` مع نوع بيانات واسم ملف معروفين، يمكن للمهاجمين إزالة الملفات الموجودة تحت `user/data/` بما في ذلك نماذج البيانات المرسلة. يحدث هذا بسبب فشل النظام في إجراء فحوصات nonce CSRF (تزوير الطلبات عبر المواقع)، وهي رموز فريدة تُستخدم لمنع تنفيذ الأوامر غير المصرح بها من متصفح المستخدم. **Recommendations** تحديث Grav Data Manager plugin إلى إصدار أحدث من 1.4.5.

**Name of the Vulnerable Software and Affected Versions** getgrav/grav-plugin-comments versions prior to 1.2.11 **Description** The Comments plugin for Grav CMS registers an admin handler that returns comment data as JSON without performing an authentication check. The handler relies on the `isAdmin()` function, which only verifies if the admin service is registered on the current route instead of confirming the visitor's authentication status. This allows an unauthenticated remote attacker to access the `/admin/comments/page:<n>` endpoint and retrieve comments from the last 7 days, including commenter email addresses and the absolute server filesystem path of the data file. This issue affects sites using the classic Admin plugin with Comments enabled. **Recommendations** Update to version 1.2.11.

**Name of the Vulnerable Software and Affected Versions** Grav Data Manager versions 1.0.1 through 1.4.4 **Description** Stored data entries in the item-detail view `admin/templates/partials/item.html.twig` are rendered without proper escaping due to the use of Twig's `raw` filter. In certain instances, a `striptags('<br>')` call is used, which can be bypassed by PHP's `strip tags()` function by preserving allowed tags and their attributes. This allows an unauthenticated visitor to submit a front-end form and store an HTML payload. When an administrator views the entry in the classic admin panel, the payload executes as JavaScript within the administrator's session and origin, utilizing their privileges and CSRF token. Execution happens automatically for list values, such as checkbox or multi-select fields, and upon hovering for ordinary text fields. **Recommendations** Update Grav Data Manager to version 1.4.5.