Bilerden

يقوم protobufjs بترجمة تعريفات protobuf إلى دوال JavaScript. ويقوم البرنامج بتحليل أسماء الخيارات من خلال التقدم عبر رموز المخطط (schema tokens) حتى الوصول إلى رمز = دون التحقق من نهاية المدخلات. ونتيجة لذلك، يمكن لمخطط .proto مصمم خصيصًا يبدأ بإعلان خيار وينتهي قبل الأوان أن يتسبب في دخول دورات لا نهائية لدوال `parse()` أو `Root.load()` أو `Root.loadSync()`.

يُعتبر axios عرضة لـ«أدوات تلوث بروتوتايب جانب القراءة» التي يمكنها تغيير بنية الطلب إذا كان `Object.prototype` قد تعرض للتلوث بسبب ثغرة أمنية أخرى أو تبعيات. في الأسماء المستعارة للطرق التي لا تحتوي على نص، مثل `axios.get()` و`axios.delete()` و`axios.head()` و`axios.options()`، يقرأ البرنامج `data` الموروثة عبر `(config || {}).data` قبل توحيد التكوين. وهذا يسمح للمهاجم بحقن نص طلب خاضع للتحكم في الطلبات التي لم يكن من المفترض أن تحتوي على نص، مما قد يؤدي إلى إتلاف دلالات الطلب على الخدمة المستقبلة. بالإضافة إلى ذلك، تتأثر المسارات منخفضة المستوى عند استدعاء المحولات أو المساعدات المصدرة (مثل `lib/adapters/http.js` و`unsafe/helpers/resolveConfig.js`) مباشرةً باستخدام تكوينات عادية. في هذه الحالات، قد يرث البرنامج قيم «proxy» ملوثة، مما يؤدي إلى توجيه الطلبات عبر وكيل يتحكم فيه المهاجم، أو قيم «paramsSerializer» ملوثة، مما يسمح بتسلسل عناوين URL يتحكم فيه المهاجم. لا تحدث هذه المشكلات منخفضة المستوى أثناء استدعاءات axios العادية عالية المستوى في الإصدارات 1.15.2 وما بعدها.

في تطبيق JRuby، لم يتم تطبيق خيار التحليل `NONET` —المُفعَّل افتراضيًا لـ `Nokogiri::XML::Schema`— بشكل صحيح. وهذا يسمح لمخطط تم تحليله باستخدام الخيارات الافتراضية بجلب موارد خارجية عبر الشبكة، مما قد يؤدي إلى هجمات تزوير الطلبات من جانب الخادم (SSRF) أو هجمات الكيانات الخارجية في XML (XXE). SSRF هي تقنية يستخدمها المهاجم لحث الخادم على إرسال طلبات إلى موقع غير مقصود، أما XXE فهي هجمة تتدخل في معالجة التطبيق لمدخلات XML.

CarrierWave هو إطار عمل يُستخدم لتحميل الملفات من تطبيقات Ruby. يفشل فحص `content type denylist` في إخفاء أحرف التعريف الخاصة بالتعبيرات النمطية في إدخالات السلاسل، مما يتسبب في فشل قائمة الحظر بصمت عند مطابقة أنواع المحتوى المقصود حظرها. في الدالة `denylisted content type()`، يتم إدراج إدخالات قائمة الحظر مباشرةً في تعبير عادي دون استخدام `Regexp.quote` أو التثبيت. على سبيل المثال، يتم التعامل مع إدخال مثل `image/svg+xml` كنمط حيث يُفسر الحرف `+` على أنه محدد كمي وليس حرفًا حرفيًا، مما يمنعه من مطابقة نوع MIME الفعلي. وتتأثر أنواع المحتوى الأخرى التي تحتوي على أحرف خاصة للتعبيرات العادية، مثل `application/xhtml+xml`، بنفس الطريقة. وهذا يسمح للمهاجم بتحميل ملفات، مثل ملفات SVG التي تحتوي على جافا سكريبت تعسفي، مما قد يؤدي إلى حدوث هجوم «التنفيذ البرمجي عبر المواقع» (XSS) المخزّن إذا قام التطبيق بتقديم الملف مضمنًا من مصدره الأصلي.