Arkmarta

توجد مشكلة حيث يستخدم نقطة النهاية `view/queue.php` دالة `pathinfo` على المتغير `fileURI` الذي يتحكم فيه المستخدم، ويقوم بتخزين اسم الملف الناتج عبر `setTitle` في `encoder queue.title` دون تحييد مناسب. نظرًا لأن `fileURI` غير مدرج في قوائم تصفية `objects/security.php` ، ويمكن منح صلاحية `Login::canUpload()` ذاتيًا عبر موقع تسجيل دخول يتحكم فيه المهاجم، يمكن للمهاجم إرسال إدخال في قائمة الانتظار بعنوان HTML خبيث. يتم تحميل هذا العنوان لاحقًا بواسطة `view/index.php` من `view/queue.json.php` في جدول jQuery Bootgrid، حيث يقوم منسق العنوان بدمج `row.title` في HTML خام للخلية. يسمح هذا بتنفيذ معالج أحداث في متصفح مشاهد مميز، مثل المسؤول أو المشغل على ستريمر المهاجم. يمكن للسكربت الناتج الوصول إلى البيانات المرئية للجلسة وبيانات اعتماد الستريمر المعروضة، والعمل بصلاحيات المشاهد.

يمكن لمهاجم عن بُعد غير مصرح له قراءة استجابات HTTP و HTTPS الداخلية، بما في ذلك بيانات اعتماد بيانات وصف مثيلات السحابة، والوصول إلى خدمات TCP الداخلية. تكمن المشكلة في أن الدالة `url get contents` في `objects/functions.php` تقبل وجهات يتحكم فيها المستدعي بعد التحقق من الصيغة فقط، دون رفض العناوين الخاصة أو عناوين loopback أو link-local، وتقوم بتعطيل التحقق من نظير TLS. يقوم نقطة النهاية غير المصرح بها 'objects/login.json.php' بإرجاع كائن جلسة يحتوي على الجسم الخام المسترجع، مما يسمح بتسريب الاستجابة الكاملة من خلال `siteURL` مقدم. بالإضافة إلى ذلك، هناك متغير قبل المصادقة في 'view/youtubeDl.json.php' يوجه `videoURL` من نوع ftp إلى `FTPDownloader`؛ حيث تقبل الدالة `parseFtpUrl` في `objects/FTPDownloader.php` المضيف والمنفذ لـ `ftp connect` ، مما يسمح بإرسال طلبات إلى خدمات FTP الداخلية. كما يتم قبول شهادات HTTPS الموقعة ذاتياً وغير الموثوقة.

تقوم واجهة تسجيل الدخول المجهولة بعكس قيم الطلبات في HTML وJavaScript دون ترميز مخرجات مناسب. في `view/index.php` يتم إرجاع المتغير `webSiteRootURL` حرفياً بواسطة الدالة `Streamer::getStreamerURL()` في `objects/Streamer.php` مما يؤثر على سمات التنقل والنماذج، كما يتم إدراجه في سلسلة JavaScript ذات اقتباس مفرد في `view/index.header.php`. يتم تصفية حقلي `user` و `pass` فقط بالنسبة للاقتباسات المفردة، مما يسمح للاقتباسات المزدوجة والأقواس الزاوية بكسر سمات HTML. بالإضافة إلى ذلك، يقوم `view/index.header.php` بعكس حقول POST باستخدام `json encode` بدون `JSON HEX TAG` مما يسمح لوسم إغلاق السكريبت بالخروج. علاوة على ذلك، يقوم `locale/function.php` بتخزين قيمة POST `lang` في الجلسة، والتي يتم عكسها لاحقاً بدون ترميز في `view/index.php`. يمكن لمهاجم عن بعد غير مصرح له استخدام رابط تسجيل دخول مصمم خصيصاً لتنفيذ JavaScript تعسفي، مما قد يؤدي إلى سرقة معرفات جلسة المشغل وبيانات اعتماد تسجيل الدخول للقيام بإجراءات غير مصرح بها.

يفشل نقطة نهاية تثبيت غير مصرح بها `install/checkConfiguration.php` في تنقية معاملات الطلب، مثل `webSiteRootURL` ، عند إدراجها في سلاسل نصية PHP محاطة بعلامات اقتباس مفردة لإنشاء ملف `videos/configuration.php`. يسمح هذا للمهاجم بحقن كود PHP يتم تنفيذه بصلاحيات مستخدم خادم الويب عند الوصول إلى الملف الناتج. يكون هذا ممكناً إذا كان ملف `videos/configuration.php` غير موجود، وهو ما يحدث أثناء عمليات النشر الجديدة أو بعد حذف الملف. يمكن للمهاجم التحكم في `systemRootPath` لكتابة الملفات، أو قراءة أو الكتابة فوق الملفات المملوكة لمستخدم خادم الويب، وإنشاء كود PHP مستمر. بالإضافة إلى ذلك، تقوم نقطة النهاية بإدراج قيم الطلب في عبارات INSERT الخاصة بالمشغل والتكوين، مما يؤدي إلى ثغرة ثانوية لحقن SQL.

يمكن لمهاجم عن بُعد غير مصرح له تنفيذ أوامر نظام التشغيل بصلاحيات مستخدم خادم الويب. تكمن المشكلة في نقطة نهاية البث المباشر `view/videosListToLive.php` التي تقبل اسم بث يحدده المهاجم في المعلمة `webSiteRootURL`. يقوم النظام باستدعاء الدالة `Login::run()` في `objects/Login.php` ويثق في ملف JSON العائد كحالة للجلسة، مما يسمح للمهاجم بمنح نفسه صلاحيات `isLogged` و `canStream` دون الحاجة إلى بيانات اعتماد مشروعة. تتجاوز هذه العملية فحص `Streamer::isURLAllowed()` وقائمة السماح الخاصة بالمشغل. علاوة على ذلك، تقبل نقطة النهاية قيم `playlists id` و `APISecret` حيث يتم تمرير `APISecret` دون التحقق منه مقابل سر مخزن. بعد ذلك، يجلب التطبيق استجابة ثانية لقائمة الفيديو يتحكم فيها المهاجم ويقوم بإدراج `videos[].path` ضمن أوامر `ffprobe` و `ffmpeg` المرسلة إلى `exec` دون تهريب صحيح لوسائط shell. تقوم الدالة `isAudio()` باستدعاء `isVideo()` لتشغيل أمر `ffprobe`. ومن خلال استخدام محددات shell في المسارات، يمكن للمهاجم تنفيذ أوامر عشوائية، مما قد يؤدي إلى كشف بيانات اعتماد قاعدة البيانات والبث، أو تعديل الملفات، أو إنشاء وصول دائم، أو تعطيل خدمة الترميز.

تسمح عملية تسجيل دخول البث غير المصرح بها بحقن SQL. يقوم endpoint `objects/login.json.php` بتمرير المعلمة `user` إلى الدالة `Streamer::get()` في `objects/Streamer.php` والتي يتم إدراجها في استعلام MariaDB SELECT دون استخدام المعلمات أو الهروب المناسب. على الرغم من إزالة علامات الاقتباس المفردة الحرفية، فإن الدالة `html entity decode` في `objects/Login.php` تعيد علامات الاقتباس المشفرة ككيانات قبل تنفيذ الاستعلام. يمكن للمهاجم استخدام ذلك لقراءة بيانات قاعدة بيانات المشفر التعسفية، مثل بيانات اعتماد البث upstream المخزنة، وتكوينات قائمة السماح، وسجلات الطابور. يقتصر التأثير على قراءة البيانات لأن البيانات المتراكمة غير مسموح بها بواسطة برنامج تشغيل mysqli ولا يمتلك حساب قاعدة البيانات امتيازات FILE العالمية.

يفتقر المشفر إلى طبقة مصادقة عامة، مما يعرض العديد من نقاط نهاية PHP للمتصلين المجهولين عبر الشبكة. تقوم نقطة النهاية 'view/run.php' باستدعاء الدالة `Encoder::run()`. وتقوم نقطة النهاية 'view/queue.json.php' باستدعاء `Encoder::getAll(true)`، وتكشف عن روابط البث عبر `getSiteURL()`، وتطلق عملية المعالجة من خلال `execRun()`. أما نقطة النهاية 'view/status.php' فتعيد ترويسة Access-Control-Allow-Origin مع رمز تعميم، وتقرأ قائمة الانتظار، وتطلق عملية المعالجة، وتكشف عن إحصائيات ذاكرة المضيف من خلال `ServerMonitor::getMemory()` عندما يكون `serverStatus` مفعلًا. بالإضافة إلى ذلك، تسمح نقطة النهاية 'view/listFiles.json.php' بالوصول المجهول عندما يكون `disableBulkEncode` فارغًا، حيث تستخدم المعلمة `path` مع `realpath()` و `scandir()` دون قيود على الدليل الأساسي. يتيح ذلك لمهاجم غير مصرح له التحكم في معالج قائمة الانتظار المميز، والوصول إلى معلومات قائمة الانتظار وموقع البث، والحصول على إحصائيات الذاكرة، وتعداد أسماء ومسارات ملفات الوسائط في أي دليل يمكن لمستخدم خادم الويب قراءته، ويقتصر ذلك على امتدادات الوسائط المكونة.

The @nx/docker release pipeline constructs docker tag, image lookup, and docker push invocations as shell command strings. The configuration values `release.docker.repositoryName` and `registryUrl` are interpolated into these strings and passed to /bin/sh -c. This allows shell syntax within untrusted Nx configurations to execute during nx release version or nx release publish operations. Consequently, a pull request or repository configuration change could execute commands with the privileges of the release job, potentially exposing registry credentials or cloud tokens. Dry-run publishing does not prevent the execution of the vulnerable pre-check command.

Nx migration planning fails to validate that the `nx-migrations.migrations` value read from a target package manifest is a contained relative path. A hostile direct dependency or a package introduced via a trusted package's `packageGroup` can provide absolute paths or `..` segments. This allows the `nx migrate` process to write attacker-controlled bytes outside the intended temporary directory or truncate existing writable files. This issue occurs during migration planning before the migration list is reviewed or the `--run-migrations` flag is used. The vulnerability is triggered when the standard `nx@latest` handoff is bypassed using `NX USE LOCAL`, `NX MIGRATE USE LOCAL`, `NX MIGRATE CLI VERSION`, `--run-id`, or following a temporary-install failure.

في المكون الإضافي Upload، فشلت نقاط نهاية واجهة برمجة تطبيقات المحتوى (Content API) في فرض قيود أنواع MIME التي قام المسؤول بتكوينها والمحددة في `plugin.upload.security.allowedTypes` و`deniedTypes`. ورغم أن هذه القيود كانت سارية المفعول في لوحة الإدارة، إلا أن الفحص الأمني `enforceUploadSecurity` كان مفقودًا من وحدة التحكم في واجهة برمجة تطبيقات المحتوى (Content API). ونتيجة لذلك، تجاوزت معالجات `uploadFiles` و`replaceFile`، بالإضافة إلى الغلاف `upload`، عملية الكشف عن أنواع MIME وقوائم السماح/الرفض. يمكن للمستخدم المصادق عليه الذي يمتلك أذونات التحميل عبر واجهة برمجة تطبيقات المحتوى (Content API) تحميل أنواع الملفات غير المسموح بها، مثل HTML وSVG. إذا تم تقديم الملفات التي تم تحميلها من نفس مصدر لوحة الإدارة، فيمكن للمهاجم تحميل ملف HTML أو SVG ضار. وعندما يفتح المسؤول هذا الملف، يمكن أن يؤدي ذلك إلى تنفيذ جافا سكريبت داخل مصدر الإدارة، مما قد يؤدي إلى اختطاف جلسة عمل المسؤول والقيام بإجراءات إدارية غير مصرح بها عبر واجهة برمجة تطبيقات الإدارة.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Payload الأقدم من 3.79.1 الوصف كان نظام إدارة المحتوى «Payload»، وهو نظام يعمل بدون واجهة مستخدم، يعاني من عدم كفاية التحقق من صحة المدخلات في بعض الطلبات. وقد سمح ذلك للمهاجمين بالتلاعب بتنفيذ استعلامات SQL، مما قد يؤدي إلى كشف البيانات أو تعديلها في المجموعات. التوصيات الترقية إلى الإصدار 3.79.1 أو أحدث.

AVideo هي منصة لمشاركة مقاطع الفيديو. تحتوي الإصدارات الأقدم من 8.0 على ثغرة حقن SQL في دالة `getSqlFromPost()` في ملف Object.php. تُستخدم مفاتيح المصفوفة `$ POST[’sort‘]` مباشرةً كمُعرفات أعمدة SQL داخل جملة ORDER BY. وعلى الرغم من استخدام دالة `real escape string()`، إلا أنها تقوم فقط بتحويل الأحرف في سياق السلسلة ولا تحمي معرفات SQL، مما يجعلها غير فعالة. تنبع المشكلة من الاستخدام المباشر للمدخلات غير المُعقمة في بناء استعلام SQL. ويُعد المعلمة `sort` داخل طلب `$ POST` معرضة للخطر بشكل خاص.

AVideo هي منصة لمشاركة مقاطع الفيديو معرضة لخطر التنفيذ البعيد للكود دون مصادقة (RCE). يمكن للمهاجم حقن استبدال أوامر شل في معلمة GET `base64Url`، مما قد يؤدي إلى اختراق الخادم بالكامل، وتسريب البيانات، وتعطيل الخدمة. تكمن المشكلة في المعالجة غير السليمة للمدخلات التي يقدمها المستخدم في أوامر شل، وتحديدًا في الملفين `objects/getImage.php` و`objects/security.php`، باستخدام دوال مثل `shell exec` و`nohup`. السبب الجذري هو عدم وجود هروب (escape) مناسب لعلامات شل عند فك تشفير المعلمة `base64Url` وإدراجها في أوامر شل. لا تمنع عملية التحقق من صحة `FILTER VALIDATE URL` تفسير أحرف الشيل الخاصة من قبل الشيل.

AVideo هي منصة فيديو مفتوحة المصدر. تم تحديد ثغرة أمنية تتعلق بتنفيذ التعليمات البرمجية عن بُعد (RCE) في وظيفة تحميل/استيراد المكونات الإضافية. يمكن لمسؤول معتمد تحميل ملف ZIP مصمم خصيصًا يحتوي على ملفات قابلة للتنفيذ من جانب الخادم. وقد أدى عدم كفاية التحقق من صحة محتوى الملفات المستخرجة إلى السماح باستخراج الملف مباشرةً إلى دليل المكونات الإضافية الذي يمكن الوصول إليه عبر الويب، مما يتيح التنفيذ التعسفي لرمز PHP. تسمح هذه الثغرة باختراق النظام بالكامل، بما في ذلك تأثيرات على السرية والسلامة والتوافر. كان النظام يتحقق فقط من امتداد ZIP لحزم المكونات الإضافية التي تم تحميلها، ولكنه لم يفرض قائمة صارمة من أنواع الملفات المسموح بها داخل الملف. كانت الملفات المستخرجة توضع مباشرةً في دليل يمكن الوصول إليه عبر الويب، دون منع تنفيذ البرامج النصية من جانب الخادم.

تحتوي تطبيق الويب التقدمي (PWA) Canarytoken التابع لـ Canarytokens على ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع» (XSS) خاصة به. يمكن لمنشئ Canarytoken تنفيذ كود جافا سكريبت عن طريق إدخاله في حقل عنوان رمز PWA الخاص به. وهذا يسمح لمنشئ الرمز بمهاجمة نفسه أو أي شخص يشاركه الرابط. وعندما تنقر الضحية على رابط التثبيت، يتم تنفيذ كود جافا سكريبت. ومع ذلك، لا يتم الكشف عن أي معلومات حساسة إلى جهة خبيثة.

AVideo هي منصة فيديو مفتوحة المصدر. تقبل نقطة نهاية واجهة برمجة التطبيقات (API) `aVideoEncoder.json.php` معلمة `downloadURL` وتقوم بالبحث عن المورد المشار إليه على جانب الخادم دون إجراء التحقق المناسب أو استخدام قائمة السماح (allow-list). وهذا يسمح للمستخدمين المصادق عليهم بتوجيه طلبات من جانب الخادم إلى عناوين URL عشوائية، بما في ذلك نقاط نهاية الشبكة الداخلية، مما يؤدي إلى تزوير الطلبات من جانب الخادم (SSRF). يمكن للمهاجم المصادق عليه استغلال ثغرة SSRF للتفاعل مع الخدمات الداخلية واسترداد البيانات الحساسة، مما قد يؤدي إلى اختراق إضافي. المعلمة المعرضة للخطر هي `downloadURL`.

يسمح AVideo باستخدام لغة Markdown في تعليقات مقاطع الفيديو ويستخدم Parsedown (الإصدار 1.7.4) دون تفعيل «الوضع الآمن». لا يتم تنقية الروابط في Markdown بشكل مناسب، مما يسمح بعرض عناوين URI التي تبدأ بـ `javascript:` كروابط قابلة للنقر. يمكن لمهاجم مسجل الدخول بامتيازات منخفضة نشر تعليق ضار يقوم بحقن جافا سكريبت دائم. وعندما ينقر مستخدم آخر على الرابط، يمكن للمهاجم تنفيذ إجراءات مثل اختطاف الجلسة، ورفع مستوى الامتيازات (بما في ذلك الاستيلاء على صلاحيات المسؤول)، وتسريب البيانات. وتُعد هذه المشكلة ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (XSS)، وفقًا لتعريف CWE-79.

CVAT هي أداة تفاعلية لتعليق الفيديو والصور في مجال الرؤية الحاسوبية. يمكن للمهاجم تنفيذ جافا سكريبت تعسفي في جلسة واجهة المستخدم الخاصة بـ CVAT الخاصة بالمستخدم الضحية. ويتم ذلك عن طريق إنشاء تسمية مصممة بشكل خبيث في مهمة أو مشروع على CVAT، ثم حث المستخدم الضحية على تعديل هذه التسمية أو عرض شكل يشير إليها. أو بدلاً من ذلك، يمكن للمهاجم حث المستخدم الضحية على إرسال صورة SVG مصممة بشكل خبيث عند تكوين هيكل. يمنح الاستغلال الناجح المهاجم وصولاً مؤقتًا إلى جميع موارد CVAT التي يمكن للمستخدم الضحية الوصول إليها.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات CVAT من 1.0.0 إلى 2.54.0 الوصف CVAT هي أداة تفاعلية مفتوحة المصدر لتعليق مقاطع الفيديو والصور في مجال الرؤية الحاسوبية. يمكن للمستخدمين الذين يتمتعون بوضع «موظف» تعديل أذوناتهم، بما في ذلك منح أنفسهم وضع «المستخدم المتميز» والانضمام إلى مجموعة «المسؤولين»، مما يمنحهم وصولاً كاملاً إلى البيانات داخل مثيل CVAT. التوصيات يجب تحديث الإصدارات الأقدم من 2.55.0. راجع قائمة المستخدمين الذين يتمتعون بصفة «staff» وقم بإلغاء هذه الصفة من أي مستخدمين لا ينبغي أن يتمتعوا بامتيازات المستخدم المتميز كإجراء مؤقت.