Basant Kumar

تسمح مشكلة في التحقق من صحة المدخلات للمهاجمين المصادق عليهم بالتسبب في هجوم رفض الخدمة. عند إرسال ملف JSON لـ Tiptap حيث يتم تعيين الحقل `attrs.href` كمصفوفة بدلاً من سلسلة نصية، يتم تشغيل خطأ TypeError غير معالج في الدالة `isAllowedUri()` عند تمرير القيمة إلى `preg match()`. وهذا يسمح للمهاجمين بإدخال سجلات JSON تالفة بشكل مستمر، مما يؤدي إلى تعطل دائم لمسار عرض HTML من جانب الخادم لجميع المشاهدين اللاحقين لهذا السجل حتى يتم إصلاح الإدخال في قاعدة البيانات يدويًا.

توجد ثغرة في البرمجة النصية عبر المواقع (XSS) المخزنة في عملية تسجيل العملاء. تقوم وحدة التحكم `Signup::addUser()` بنسخ قيم `username` الخام المرسلة عبر طلب POST إلى حقل `display name` قبل تطهيرها. وهذا يسمح للمهاجمين بإرسال علامات HTML وعلامات البرمجة النصية في حقل `username` أثناء التسجيل؛ وعلى الرغم من إزالة العلامات من عمود اسم المستخدم، إلا أنها تبقى في عمود `display name`. ويتم تنفيذ البرنامج النصي عند عرض `display name` دون ترميز في طرق العرض المعرضة للخطر.

توجد ثغرة أمنية تتعلق بتحميل الملفات دون قيود في نقطة نهاية تحميل المكونات الإضافية. تتيح هذه الثغرة للمستخدمين الذين يتمتعون بامتيازات super admin تنفيذ تعليمات برمجية PHP تعسفية عن طريق تحميل ملف ZIP خبيث لمكون إضافي. تتضمن الهجمة إنشاء أرشيف ZIP يحتوي على ملف `plugin.php` برأس Slug صالح وملف `public/index.php` يحتوي على تعليمات برمجية PHP تعسفية. يتم تنفيذ هذه التعليمات البرمجية بأذونات مستخدم خادم الويب عند الوصول إليها عبر طلبات HTTP غير مصدقة إلى المسار العام للمكوّن الإضافي.

توجد مشكلة تكرار غير خاضع للرقابة في دورة توزيع وحدة التحكم الإدارية. تقوم الدالة `Base::init()` باستدعاء الدالة `permission()` بشكل متكرر على معالجات الأخطاء، مما يؤدي إلى تكرار لا نهائي يستنفد حدود ذاكرة PHP. يمكن لمستخدم ذي امتيازات منخفضة إحداث هذه المشكلة عن طريق إرسال طلبات متواصلة إلى عناوين URL الإدارية المحظورة، مما يؤدي إلى رفض الخدمة للحركة المرورية المشروعة عن طريق استنفاد ذاكرة PHP عبر جميع العمال.

تسمح ثغرة تتعلق بكشف المعلومات للمهاجمين غير المصادق عليهم بإجراء عملية تعداد للملفات والدلائل. ويحدث ذلك بسبب افتقار مسارات متعددة إلى توجيهات الفهرسة الصحيحة في ملفات .htaccess، وهي ملفات التكوين التي تستخدمها خوادم الويب Apache للتحكم في الإعدادات على مستوى الدلائل. يمكن للمهاجمين الوصول إلى مسارات موارد الإدارة والمكونات الإضافية والسمات ومجلدات الوسائط لعرض أسماء الملفات وأحجامها وطوابع التعديل الزمنية وقوالب الإدارة غير المعروضة التي تحتوي على خرائط مسارات حساسة.

توجد ثغرة في البرمجة النصية عبر المواقع (XSS) المنعكسة غير الخاضعة للمصادقة في أداة عرض المعاينة بالمحرر المرئي. يمكن للمهاجمين تنفيذ تعليمات جافا سكريبت تعسفية من خلال التلاعب بمعلمة الاستعلام `r` ومعلمة POST ` component ajax`. يحدث هذا لأن الدالة `isEditor()` لا تقوم بالتحقق من الجلسة أو الدور أو الرمز المميز، كما أن معالج العرض يقوم بإدراج محتوى نصي HTML خام في نص رسالة POST دون تنقيته. يمكن للمهاجمين استخدام رابط ضار أو نموذج يتم إرساله تلقائيًا لتنفيذ تعليمات جافا سكريبت خاضعة لسيطرتهم ضمن سياق مصدر Vvveb.

توجد مشكلة في الكشف عن المعلومات في وحدة التحكم في cron تسمح للمهاجمين غير المصادق عليهم باسترداد مفتاح cron السري للتطبيق. من خلال الوصول إلى وحدة التحكم في cron دون مصادقة، يمكن للمهاجم الحصول على المفتاح السري المكشوف من الاستجابة، مما يتيح تشغيل المهام المجدولة خارج الجدول الزمني المقصود.

توجد مشكلة تتعلق ببيانات اعتماد مبرمجة بشكل ثابت في ملف التكوين `docker-compose-apache.yaml`. وهذا يسمح للمهاجمين غير المصادق عليهم بالوصول إلى حاوية phpMyAdmin المدمجة باستخدام بيانات اعتماد قاعدة البيانات المُعدة مسبقًا. من خلال الاتصال بمنفذ phpMyAdmin، يمكن للمهاجمين الحصول على وصول غير مقيد للقراءة والكتابة إلى قاعدة البيانات بأكملها، بما في ذلك تجزئات كلمات مرور المسؤولين، والمعلومات الشخصية للعملاء، وبيانات الطلبات، مما قد يؤدي إلى الاستيلاء على الحسابات والتلاعب بالبيانات.

توجد ثغرة في معالج تحميل الوسائط تسمح بتحميل الملفات دون قيود. يمكن للمستخدمين المصادق عليهم الذين يتمتعون بأذونات تحميل الوسائط تجاوز قيود الامتدادات عن طريق تحميل ملف `.htaccess` لتعيين الامتدادات `.phtml` إلى معالج PHP. وهذا يسمح بتحميل ملف `.phtml` يحتوي على كود PHP تعسفي، والذي يمكن تنفيذه عن طريق إرسال طلب HTTP GET غير مصدق إلى الملف الذي تم تحميله، مما يؤدي إلى تنفيذ كود عن بُعد بامتيازات خادم الويب.

توجد مشكلة حقن كيان خارجي XML (XXE) في ميزة ”أدوات الإدارة/الاستيراد“. يمكن لمستخدمي `site admin` المصادق عليهم استغلال تكوين محلل XML في نقطة النهاية ’system/import/xml.php‘ لحقن مراجع الكيانات `file://` أو `php://filter`. يتم حل هذه المراجع وتخزينها في قاعدة بيانات التطبيق، مما يسمح بالكشف عن الملفات بشكل تعسفي والكتابة فوق تجزئات كلمات مرور المسؤول لتحقيق تصعيد الامتيازات.

يسمح محرر كود الإدارة للمستخدمين المصادق عليهم الذين يتمتعون بامتيازات منخفضة — مثل أدوار المحرر أو المؤلف أو المساهم أو site admin — بتنفيذ كود تعسفي. ويحدث ذلك بسبب عدم كفاية قيود امتدادات الملفات، مما يمكّن المهاجمين من كتابة ملف `.htaccess` ضار لتعيين امتدادات تعسفية لمعالج PHP. وبالتالي، يمكن تحميل كود PHP باستخدام تلك الامتدادات لتنفيذ كود عن بُعد عند الوصول إلى الملف عبر HTTP.

تسمح ثغرة تتعلق بكشف المعلومات للمهاجمين غير المصادق عليهم بالحصول على معلومات حساسة عن الخادم من خلال إحداث استثناءات غير معالجة في وحدة إعادة تعيين كلمة المرور. وعند الوصول إلى نقطة نهاية إعادة تعيين كلمة مرور المسؤول، يحدث خطأ فادح بسبب عدم استيراد مساحة الاسم. ويؤدي ذلك إلى الكشف عن المسار المطلق لملفات الخادم، ومساحات أسماء الفئات الداخلية، وأرقام الأسطر، ومقتطفات من شفرة المصدر من خلال معالج استثناءات التصحيح.