Axel-Corsiez

An authorization failure allows authenticated users to perform unauthorized actions across different workspaces. The 'DuplicateAssetEndpoint' fetches a source FileAsset without restricting it to the caller's workspace, enabling cross-workspace asset duplication. Additionally, 'WorkspaceFileAssetEndpoint' and the legacy 'FileAssetEndpoint' lack workspace authorization, which allows users to read, create, modify, or delete assets in workspaces where they are not members. Furthermore, the `retrieve` function within 'WorkspaceViewViewSet' lacks the necessary authorization decorator, exposing a read surface for unauthorized workspace views.

Authenticated attackers can execute arbitrary SQL queries and retrieve results in HTTP responses. This occurs because the trace-funnel analytics endpoints interpolate the `service name` and `span name` fields into ClickHouse string literals without proper escaping.

The HTTP handler fails to apply authorization wrappers to trace-funnel analytics endpoints. This allows unauthenticated attackers to submit arbitrary funnel definitions to retrieve trace analytics, including identifiers, durations, span counts, service topology, and error activity, without providing credentials.

An SQL injection exists in the activity list endpoints 'GET /api/v1/fleet/activities' and 'GET /api/v1/fleet/hosts/{id}/activities'. The issue stems from the deprecated cursor-pagination helper `appendListOptionsWithCursorToSQL`, which interpolates caller-supplied sort/order keys into the SQL ORDER BY clause without using an allowlist. This allows an authenticated user with read access to Activity to order results by arbitrary columns. The impact is read-only and limited to columns on the `activity past` table that are not typically returned in responses, such as `details`, enabling their values to be inferred via the sort order. This does not allow write access, privilege escalation, or access to `node key` or other host-join columns.

تفشل العديد من مكونات واجهة المستخدم على الويب الخاصة بـ Livewire في التحقق من ملكية الفريق عند معالجة قيمتي `server id` و`destination uuid` المرسلة عبر معلمات استعلام URL. في حين أن وحدات التحكم في واجهة برمجة التطبيقات (API) تستخدم الدالة `Server::whereTeamId($teamId)` بشكل صحيح للتحقق من الملكية، فإن عدم وجود فحوصات مماثلة في واجهة المستخدم على الويب يسمح للمستخدمين بتنفيذ نشر الموارد عبر الفرق، مما يمنح وصولاً غير مصرح به إلى عمليات الخادم والتطبيق وقاعدة البيانات. تم تحديد أكثر من 183,000 جهاز قد تكون متأثرة في جميع أنحاء العالم.

لا تفرض نقطة نهاية GraphQL الاختيارية الموجودة على ”/graphql“ نفس إجراءات التحقق من التفويض التي تفرضها واجهة برمجة التطبيقات REST. وهذا يسمح لأي مستخدم تمت مصادقته، بغض النظر عن دوره أو قائمة التحكم في الوصول (ACL) الخاصة بحالته، بتنفيذ إجراءات غير مصرح بها. وتشمل هذه الإجراءات قراءة مؤشرات الاختراق (IOC) عبر حالات مختلفة عبر «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR)، والكشف الجماعي عن مؤشرات الاختراق من خلال مُحلل `case.iocs` — الذي يُرجع مؤشرات الاختراق المرتبطة بحالة عشوائية دون التحقق من الوصول — وإنشاء حالات غير مصرح بها.

تستخدم وظيفة استرداد رمز OAuth2 الموجودة في `packages/server/src/sdk/workspace/oauth2/utils.ts` استدعاءً خامًّا لـ `fetch(config.url)` دون حماية من تزوير الطلبات من جانب الخادم (SSRF). SSRF هو ثغرة تسمح للمهاجم بحث التطبيق من جانب الخادم على إرسال طلبات إلى موقع غير مقصود. وعلى الرغم من استخدام غلاف آمن `fetchWithBlacklist()` لطلبات HTTP الصادرة الأخرى، إلا أنه لم يتم تطبيقه على نقطة نهاية رمز OAuth2. يمكن للمستخدم الذي يتمتع بدور BUILDER توجيه عنوان URL لرمز OAuth2 إلى خدمات داخلية، مثل CouchDB أو بيانات التعريف السحابية، لسرقة البيانات الحساسة.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Saltcorn الأقدم من 1.4.5، والأقدم من 1.5.5، والأقدم من 1.6.0-beta.4. الوصف Saltcorn هو أداة إنشاء تطبيقات قواعد البيانات القابلة للتوسيع والمفتوحة المصدر والتي لا تتطلب كتابة أكواد برمجية. يمكن للمهاجمين غير المصادق عليهم إنشاء دلائل عشوائية وكتابة محتوى JSON يتحكم فيه المهاجم إلى الملفات عبر نقطة نهاية واجهة برمجة التطبيقات (API) `POST /sync/offline changes`. تسمح نقطة نهاية واجهة برمجة التطبيقات (API) `GET /sync/upload finished` للمهاجمين غير المصادق عليهم بإدراج محتويات الدلائل التعسفية وقراءة ملفات JSON محددة. تنشأ هذه الثغرة الأمنية عن عدم وجود التحقق الصحيح من المسار في نقاط النهاية هذه، وتحديدًا عدم تطبيق الدالة `File.normalise in base()` المستخدمة في أجزاء أخرى من قاعدة الكود. يتم استخدام المعلمة `newSyncTimestamp` في نقطة نهاية واجهة برمجة التطبيقات `POST /sync/offline changes` ومعلمة الاستعلام `dir name` في نقطة نهاية واجهة برمجة التطبيقات `GET /sync/upload finished` مباشرةً في `path.join()` دون تعقيم، مما يسمح باجتياز المسار. وقد يؤدي ذلك إلى كتابة ملفات عشوائية، وإدراج قوائم المجلدات، واحتمال تنفيذ تعليمات برمجية عن بُعد عن طريق الكتابة إلى مسارات حساسة. التوصيات قم بتطبيق `File.normalise in base()` على نقاط النهاية `POST /sync/offline changes` و`GET /sync/upload finished`، على غرار التنفيذ في نقطة النهاية `clean sync dir`. بالإضافة إلى ذلك، أضف البرمجيات الوسيطة `loggedIn` إلى نقاط النهاية التي تُعدّل حالة الخادم.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات changedetection.io السابقة للإصدار 0.54.8 الوصف: تم وضع الزخرفة `@login optionally required` بشكل خاطئ قبل `@blueprint.route()` في 13 مسارًا موزعة على 5 ملفات بلوبرينت. يؤدي عكس ترتيب هذه الزخرفة إلى تجاوز عمليات التحقق من المصادقة، مما يسمح بالوصول غير المصادق عليه إلى المسارات الحساسة، بما في ذلك إنشاء النسخ الاحتياطية وعرضها وتنزيلها وإزالتها. يمكن أن يؤدي الاستغلال الناجح إلى تسريب كامل للبيانات، بما في ذلك عناوين URL الخاضعة للمراقبة، وعناوين URL الخاصة بـ webhook للإشعارات (التي قد تحتوي على رموز API)، وبيانات التكوين. يمكن للمهاجمين أيضًا تحميل نسخ احتياطية ضارة لحقن تكوينات، وتنفيذ تزوير الطلبات من جانب الخادم (SSRF)، وربما اختطاف جلسات المتصفح. تشمل نقاط نهاية واجهة برمجة التطبيقات (API) المتأثرة: ’/backups/request-backup‘، و'/backups/’، و‘/backups/download/<filename>’، و‘/backups/remove-backups'. المعلمة المعرضة للخطر هي اسم الملف في نقطة النهاية ’/backups/download/<filename>‘. التوصيات: قم بالتحديث إلى الإصدار 0.54.8 أو أحدث. تأكد من أن الزخرفة `@blueprint.route()` هي الزخرفة الخارجية لجميع المسارات المتأثرة. على سبيل المثال: @blueprint.route(’/backups/download/<filename>‘) @login optionally required def download backup(filename):

آلية الحماية `ADMIN ONLY OPTIONS`، التي تهدف إلى تقييد الوصول إلى قيم التكوين الحساسة، لا تُطبق على خيارات تكوين المكونات الإضافية. وعلى وجه التحديد، يقوم المكون الإضافي `AntiVirus` بتخزين مسار ملف قابل للتنفيذ (`avfile`) في تكوينه، والذي يتم تمريره بعد ذلك مباشرةً إلى `subprocess.Popen()`. ويمكن لمستخدم غير إداري يتمتع بإذن SETTINGS تعديل هذا المسار لتنفيذ تعليمات برمجية عشوائية. كما تسمح هذه الثغرة بقراءة ملفات عشوائية من خلال التلاعب بخيار التكوين `storage folder`. يمكن للمهاجم تعيين `storage folder` إلى ’/‘ ثم الوصول إلى ملفات مثل `/etc/passwd` عبر نقطة نهاية واجهة برمجة التطبيقات (API) `/files/get/`. ويؤدي ذلك إلى تنفيذ تعليمات برمجية عن بُعد، واحتمال تصعيد الامتيازات، وقراءة الملفات بشكل تعسفي. **نقاط نهاية واجهة برمجة التطبيقات (API)**: `/api/set config value`، `/api/add package`، `/files/get/` **المعلمات أو المتغيرات المعرضة للخطر**: `avfile`، `avargs`، `storage folder`، `section`، `option`، `value` **الوظائف المعرضة للخطر**: `scan file()`، `set config value()`

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات OneUptime السابقة للإصدار 10.0.42 الوصف واجهت OneUptime، وهي منصة مفتوحة المصدر للمراقبة والرصد، مشكلة تمثلت في أن الوصول غير المصادق عليه إلى نقاط نهاية اختبار الإشعارات وإدارة أرقام الهواتف سمح بحدوث إساءة استخدام، بما في ذلك إرسال رسائل SMS ومكالمات وبريد إلكتروني ورسائل WhatsApp غير مرغوب فيها، بالإضافة إلى شراء أرقام هواتف دون إذن. وكان من المحتمل أن يستنزف المهاجمون الميزانيات ويغرقوا الأهداف برسائل غير مرغوب فيها. التوصيات التحديث إلى الإصدار 10.0.42 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Fireshare السابقة للإصدار 1.5.3 الوصف يتيح برنامج Fireshare مشاركة الوسائط والروابط المستضافة ذاتيًا. قبل الإصدار 1.5.3، كان هناك عيب في نقطة النهاية /api/uploadChunked/public حيث كان بإمكان مهاجم غير مصدق التلاعب بمعلمة `checkSum` لكتابة ملفات عشوائية ذات محتوى يتحكم فيه المهاجم إلى أي مسار قابل للكتابة على نظام ملفات الخادم. تم تطبيق الإصلاح الخاص بمشكلة ذات صلة على نقطة النهاية /api/uploadChunked التي تتطلب المصادقة، ولكن لم يتم تطبيقه على نقطة النهاية التي لا تتطلب المصادقة. وهذا يتيح تنفيذ التعليمات البرمجية عن بُعد. التوصيات قم بالتحديث إلى الإصدار 1.5.3 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات PdfDing السابقة للإصدار 1.7.1 الوصف PdfDing هو برنامج لإدارة ملفات PDF وعرضها وتحريرها يتم استضافته محليًّا. قبل الإصدار 1.7.1، كانت الدالة `check shared access allowed()` تتحقق فقط من وجود الجلسة، ولا تتحقق مما إذا كان ملف PDF المشترك غير نشط (انتهت صلاحيته أو وصل إلى الحد الأقصى لعدد مرات العرض) أو تم حذفه. تعتمد نقاط نهاية واجهة برمجة التطبيقات (API) الخاصة بالخدمة والتنزيل، وهما ’‘/serve'’ و‘'/download''، على هذه الدالة، مما يسمح للمستخدمين المصرح لهم مسبقًا بالوصول إلى محتوى ملف PDF المشترك بعد انتهاء صلاحيته أو بلوغه الحد الأقصى لعدد مرات العرض أو حذفه مؤقتًا. التوصيات التحديث إلى الإصدار 1.7.1 أو أحدث.