Anir0Y

يوجد تجاوز لصلاحيات التفويض يسمح بالوصول عبر قواعد البيانات المختلفة من خلال وظائف الإدخال/الإخراج (I/O) ذات القيم الجدولية في DuckDB. في الملف `internal/api/query.go` تقوم الدالة `extractTableReferences` بتجاوز الأسماء التي تليها أقواس فتح، وتسمح الدالة `checkQueryPermissions` بالاستعلامات التي لا تحتوي على مراجع جداول مستخرجة. وبينما يتم حظر أنماط معينة، يفشل النظام في تقييد الاسم المستعار `parquet scan` ووظائف مثل `glob()` و `parquet metadata()` و `parquet schema()` و `read blob()` و `read csv auto()` و `read json()` و `read text()`. يمكن لطلب مرسل إلى نقطة النهاية `POST /api/v1/query` باستخدام هذه الوظائف أن يتجاوز تفويض المستأجر، مما يسمح بقراءة وتعداد بيانات السلاسل الزمنية والمخططات وإحصائيات نطاق القيم لكل عمود لقواعد بيانات أخرى ضمن الجذر المسموح به. تكمن المشكلة في كيفية تعامل `allowed directories` في `internal/database/sandbox.go` و `GetStoragePath` في `internal/storage/util.go` مع الجذر متعدد المستأجرين.

The default `blockUnsafeOperationsPlugin` compares parsed option names with literal dangerous option spellings, but Git accepts unambiguous long-option abbreviations. This allows attacker-influenced push arguments, such as abbreviated forms of `--receive-pack` or `--exec`, to bypass the `detectVulnerableFlags` function. Consequently, Git may invoke an attacker-selected command when these arguments are passed to a local or file remote, or an attacker-influenced receive-pack target.

تسمح قائمة الحظر غير الكاملة في آلية الحماية `unsafe git archive options` للمهاجمين بتزويد الدالة `Repo.archive()` بخياري `--add-file` و`--add-virtual-file`. يمكن استغلال هذه الثغرة لقراءة ملفات عشوائية من نظام الملفات وإدراجها في الأرشيف الذي يتم إنشاؤه.