Amir Zaltzman

يوجد ثغرة تسمح لمهاجم معتمد بتنفيذ تعليمات برمجية في النظام عن بُعد. ويتم ذلك عن طريق حقن مدخلات ضارة في حقول `username` و/أو `password` في إجراء الاستعادة الموجود في نقطة النهاية `/api/V1`.

يوجد ثغرة تسمح لمهاجم معتمد بتنفيذ تعليمات برمجية عن بُعد على النظام. ويتم ذلك عن طريق إدخال بيانات خبيثة في عنوان URL لخدمة MBird SMS و/أو إدخال تعليمات برمجية عبر مسار الأداة المساعدة. ثم تتم معالجة هذه المدخلات أثناء تكوين النظام، مما يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد. تتمثل الثغرة الأمنية في حقن أمر في نظام التشغيل.

يوجد ثغرة تسمح لمهاجم معتمد بتنفيذ تعليمات برمجية عن بُعد على النظام. ويتم ذلك عن طريق حقن مدخلات ضارة في الطلبات المرسلة إلى المسار `/templates`. وتتمثل المشكلة في حقن الأوامر في نظام التشغيل.

توجد ثغرة أمنية تتعلق بحقن الأوامر في نظام التشغيل تسمح لمهاجم معتمد بتنفيذ تعليمات برمجية عن بُعد. ويتم ذلك عن طريق حقن مدخلات ضارة في حقل اسم ملف الخريطة أثناء عملية تحميل الخريطة في مسار المعلمات.

يوجد ثغرة تسمح لمهاجم معتمد بتنفيذ تعليمات برمجية عن بُعد على النظام. ويتم ذلك عن طريق حقن مدخلات ضارة في حقل `devices` أثناء عملية تحديث البرنامج الثابت. ويؤدي هذا الحقن إلى تنفيذ تعليمات برمجية عن بُعد.

يسمح تجاوز المصادقة للمهاجمين بالالتفاف على متطلبات المصادقة وتنفيذ التعليمات البرمجية دون مصادقة على النظام. تتيح هذه الثغرة الاستغلال عن بُعد عبر الشبكة دون الحاجة إلى وصول مسبق أو تفاعل من المستخدم.

توجد ثغرة أمنية تتعلق بحقن الأوامر في نظام التشغيل، مما يسمح لمهاجم معتمد بتنفيذ تعليمات برمجية عن بُعد. ويتم ذلك عن طريق إرسال مدخلة مُعدلة إلى مسار تحديث البرنامج الثابت. تؤثر هذه المشكلة على الأنظمة التي تعمل بالبرنامج المعرض للخطر.

يمكن لمهاجم غير مصدق هويته تنفيذ أوامر على النظام عن بُعد. ويتم ذلك عن طريق إرسال طلب مصمم خصيصًا إلى مسار تثبيت المكتبات وحقن مدخلات ضارة في نص الطلب. يقوم التطبيق بمعالجة الطلبات بطريقة غير سليمة، مما يسمح بتنفيذ التعليمات البرمجية عن بُعد (RCE).

يوجد ثغرة تسمح لمهاجم معتمد بتنفيذ تعليمات برمجية عن بُعد على النظام. ويتم ذلك عن طريق حقن مدخلات ضارة في حقل `devices` ضمن عملية تطبيق تحديث البرنامج الثابت. وتعتبر هذه الثغرة عملية حقن أوامر في نظام التشغيل.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة XWEB Pro الإصدارات الأقدم من 1.12.1 الوصف توجد ثغرة تسمح لمهاجم معتمد بتنفيذ تعليمات برمجية عن بُعد على النظام. ويتم ذلك عن طريق حقن مدخلات ضارة في حقول معلمات OpenSSL في الطلبات المرسلة إلى مسار الأداة المساعدة. تؤدي هذه الثغرة إلى تنفيذ تعليمات برمجية عن بُعد. التوصيات قم بالتحديث إلى إصدار أحدث من 1.12.1.

يوجد ثغرة تسمح بتجاوز المصادقة بسبب المعالجة غير السليمة لقيم الإرجاع الخاصة بروتين المصادقة. حيث يعالج البرنامج قيمة إرجاع غير متوقعة على أنها صحيحة، مما يؤدي إلى تجاوز ضوابط المصادقة.

يوجد ثغرة تسمح لمهاجم معتمد بتنفيذ تعليمات برمجية عن بُعد على النظام. ويتم ذلك عن طريق إدخال بيانات ضارة في حقل `devices` عند الوصول إلى نقطة نهاية واجهة برمجة التطبيقات (API) `/get setup`. ويؤدي ذلك إلى تنفيذ تعليمات برمجية عن بُعد.

توجد ثغرة أمنية تتعلق بحقن الأوامر في نظام التشغيل تتيح للمهاجم المصادق عليه تنفيذ تعليمات برمجية عن بُعد على النظام. ويتم ذلك عن طريق إرسال مدخلات مزورة إلى المسار `restore`. تعتبر مسار `restore` عرضة لحقن الأوامر بسبب عدم كفاية التحقق من صحة المدخلات. لم يتم تحديد المعلمة المعرضة للثغرة.

توجد ثغرة أمنية تتعلق بحقن أوامر نظام التشغيل في XWEB Pro. يتيح الاستغلال الناجح للمهاجم المصادق عليه تنفيذ تعليمات برمجية عن بُعد على النظام، من خلال توفير ملف تحديث البرنامج الثابت الذي تم التلاعب به عبر مسار تحديث البرنامج الثابت. المكون المعرض للثغرة هو مسار تحديث البرنامج الثابت. المعلمة المعرضة للثغرة هي ملف تحديث البرنامج الثابت.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة XWEB Pro الإصدارات الأقدم من 1.12.1 الوصف توجد ثغرة أمنية تتعلق بحقن أوامر نظام التشغيل، مما يسمح لمهاجم معتمد بتنفيذ تعليمات برمجية عن بُعد. ويحدث ذلك عند إدخال بيانات ضارة عبر إعداد اسم المضيف للجهاز أثناء تهيئة النظام. يقوم النظام بمعالجة هذه البيانات، مما يؤدي إلى تنفيذ تعليمات برمجية عن بُعد. التوصيات قم بالتحديث إلى إصدار أحدث من 1.12.1.

يوجد تجاوز سعة المخزن المؤقت (buffer overflow) قائم على المكدس في مسار API لبرنامج XWEB Pro. وهذا يسمح للمهاجمين غير المصادق عليهم بالتسبب في تلف المكدس وإغلاق البرنامج. لم يتم تحديد مسار API المعرض للخطر.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة XWEB Pro، الإصدارات الأقدم من 1.12.1 الوصف توجد ثغرة أمنية تسمح بالقراءة التعسفية للملفات في برنامج XWEB Pro، مما قد يتيح للمهاجمين غير المصادق عليهم قراءة ملفات تعسفية على النظام. وقد يؤدي ذلك إلى هجوم لرفض الخدمة. التوصيات قم بتحديث XWEB Pro إلى الإصدار 1.12.1 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات XWEB Pro الأقدم من 1.12.1 الوصف توجد ثغرة أمنية تسمح لمهاجم معتمد بتنفيذ تعليمات برمجية على النظام. ويتم ذلك عن طريق إرسال مدخلات مزورة في حقل اسم المستخدم الخاص بعملية الاستيراد المُعدة مسبقًا عبر مسار واجهة برمجة التطبيقات (API) V1. نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة هي ’/api/V1‘. والمعلمة المعرضة للخطر هي `username`. التوصيات قم بالتحديث إلى إصدار أحدث من 1.12.1.

توجد ثغرة أمنية تتعلق بحقن أوامر نظام التشغيل في XWEB Pro، مما يسمح لمهاجم معتمد بتنفيذ تعليمات برمجية عن بُعد على النظام. ويتم تحقيق ذلك عن طريق تزويد ملف قالب تم التلاعب به إلى المسار `/devices`. ويُعد «ملف القالب» مصدر عملية الحقن.

تسمح ثغرة أمنية لمهاجم معتمد بتنفيذ تعليمات برمجية في النظام عن بُعد. ويتم ذلك عن طريق تكوين حالة شاشة LCD مصممة خصيصًا، والتي تتم معالجتها أثناء تكوين النظام. وتتمثل هذه الثغرة في حقن أوامر نظام التشغيل.