Andyanh174

Traefik from v3.2.0 before v3.7.14 contains an authentication bypass vulnerability in the experimental FastProxy connection pool, which fails to pin NTLM/Negotiate-authenticated backend connections to their frontend connection. Unauthenticated clients can be handed a pooled keep-alive backend connection where a victim completed an NTLM or Negotiate handshake, letting them read victim data and act as that victim.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات NocoDB السابقة لـ 2026.04.1 **الوصف** يوجد اختلاف في التوقيت في استجابة تسجيل الدخول عند استخدام عناوين بريد إلكتروني معروفة مقابل عناوين غير معروفة. ويحدث ذلك لأن فرع المستخدم غير المعروف في ملف `auth.service.ts` يُرجع استجابة دون إجراء مقارنة لتجزئة كلمة المرور. يمكن لمهاجم موجود على الشبكة استغلال هذه الثغرة عن طريق إرسال طلبات تسجيل دخول غير مصدقة لتعداد عناوين البريد الإلكتروني المسجلة. لمعالجة هذه المشكلة، يقوم النظام الآن بإجراء `bcrypt.compare` (وهي دالة تُستخدم لمقارنة كلمة مرور النص العادي بنسختها المُجزأة بشكل آمن) مقابل تجزئة وهمية للمستخدمين المجهولين لضمان اتساق أوقات الاستجابة. **التوصيات** التحديث إلى الإصدار 2026.04.1.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Strapi الأقدم من 5.33.3 **الوصف** لا يؤدي تغيير كلمة مرور المستخدم أو إعادة تعيينها إلى إبطال صلاحية جلسات عمل رموز التحديث الحالية بشكل افتراضي. في وحدات التحكم الخاصة بأذونات المستخدمين ومصادقة المسؤولين، تعتمد عملية الإبطال على قيمة `deviceId` التي يزودها المستدعي. إذا تم تقديم طلب لتغيير كلمة المرور أو إعادة تعيينها دون `deviceId`، فلن يتم إلغاء أي رموز تحديث، مما يبقي جميع الجلسات السابقة نشطة. وهذا يسمح للمهاجم الذي حصل مسبقًا على رمز تحديث بمواصلة إنشاء رموز وصول جديدة حتى بعد إعادة تعيين كلمة المرور، مما يتيح الوصول غير المصرح به طوال مدة صلاحية رمز التحديث، والتي تبلغ 30 يومًا بشكل افتراضي. **التوصيات** التحديث إلى الإصدار 5.33.3 أو أحدث.