Assaf Alassaf

Coolify هي أداة مفتوحة المصدر لإدارة الخوادم والتطبيقات وقواعد البيانات. يمكن للمستخدم المصادق عليه الذي يمتلك أذونات إدارة قواعد البيانات تنفيذ أوامر على الخوادم المدارة، وذلك لأن دالة `DatabaseBackupJob` تقوم بإدراج بيانات اعتماد قاعدة البيانات التي يتحكم فيها المستخدم وأسماء استثناءات مجموعات MongoDB في أوامر شل النسخ الاحتياطي دون إجراء عملية الهروب (escaping) المناسبة.

تدعم وحدة «Media» تقنية oEmbed، التي تستخدم آليتين لاكتشاف عناوين URL: `providers.json` واكتشاف عناوين URL. يمكن استغلال كود اكتشاف عناوين URL لخداع النظام ودفعه إلى إرسال طلبات غير مصرح بها من جانب الخادم إلى أي عنوان URL عشوائي. ويُعرف هذا بـ «تزوير الطلبات من جانب الخادم» (SSRF)، وهو عيب يتيح للمهاجم إجبار الخادم على إرسال طلبات إلى موقع غير مقصود.