Bobur Abdugafforov

توجد مشكلة في التحكم في الوصول في نقطة نهاية واجهة برمجة تطبيقات الإحصائيات الخاصة بـ Mautic وهي '/api/stats/{table}'. فشل النظام في فرض الأذونات على العديد من الجداول الداخلية، حيث لم يتم تطبيق القيود المخصصة للمسؤولين فقط، وظلت الجداول التي تفتقر إلى تعيين أذونات صريح قابلة للقراءة افتراضيًا. نتيجة لذلك، يمكن لأي مستخدم مصادق عليه لواجهة برمجة التطبيقات، بغض النظر عن دوره أو أذوناته، الوصول إلى بيانات حساسة. يتضمن ذلك سجل تدقيق التطبيق الذي يحتوي على إجراءات المستخدمين وتفاصيل التغييرات التي قد تكشف عن بيانات الاتصال الشخصية، وعناوين IP للزوار، وتفاصيل الموقع الجغرافي، وعناوين إعادة التوجيه المتتبعة مع تعيينات القنوات.

توجد ثغرة حقن SQL في نقطة نهاية واجهة برمجة تطبيقات بيانات أدوات لوحة التحكم '/api/data/{type}'. يحدث هذا لأن معاملات تصفية المخططات التي يقدمها العميل لا يتم التحقق من صحتها بشكل صحيح قبل استخدامها في استعلامات قاعدة البيانات التي تبني بيانات مخططات لوحة التحكم. يمكن للمستخدم المصرح له الذي يملك وصولاً إلى واجهة برمجة التطبيقات استغلال ذلك باستخدام تقنيات blind SQL injection—وهي تقنية تُستخدم لاسترداد البيانات من قاعدة البيانات عن طريق طرح أسئلة بصيغة صح أو خطأ—لقراءة بيانات عشوائية من قاعدة بيانات Mautic، بما في ذلك بيانات الاتصال وبيانات التسويق الأخرى وبيانات حسابات المستخدمين التي تحتوي على هاشات كلمات المرور. بالإضافة إلى ذلك، يمكن استخدام SQL المحقون لإبطاء استعلامات قاعدة البيانات، مما قد يؤثر بشكل محدود على التوافر. تعديل البيانات غير ممكن من خلال هذه الثغرة، ويتطلب الاستغلال تفعيل واجهة برمجة تطبيقات Mautic.

يمكن للمستخدمين المصادق عليهم تنفيذ تعليمات برمجية عن بُعد على خادم Prefect من خلال ثغرة تتعلق بحقن المعلمات. تحدث هذه المشكلة لأن المعلمة `branch` في خطوة السحب `git clone` يتم تمريرها مباشرةً إلى الأمر git pull دون تنقية مناسبة، مما يسمح بحقن معلمات git عشوائية.

توجد مشكلة تتعلق بالكشف عن المعلومات تتيح للمهاجمين عن بُعد غير المصادق عليهم استرداد سجلات المستأجرين التابعين للمؤسسة. ويحدث ذلك من خلال وظيفة Parse Cloud المسماة `gettenant`، التي تقبل معلمة `contactId` وتُرجع سجل المستأجر الكامل دون إجراء أي فحوصات للمصادقة أو التفويض. وهذا يسمح بتعداد وكشف بيانات تكوين المستأجرين لأي مؤسسة داخل النظام.

توجد مشكلة تتعلق بتصعيد الصلاحيات، حيث يمكن للمهاجم الذي يمتلك رمز توفير SCIM محدد النطاق المصدر الحصول على صلاحيات المستخدم المتميز. ويحدث ذلك لأن وظيفة استيعاب المجموعات في SCIM تعتمد أي مجموعة موجودة بالاسم وتستبدل عضويتها دون التحقق من نطاق المصدر مقابل المجموعة المستهدفة. من خلال توفير مجموعة SCIM تتطابق مع اسم مجموعة إدارية موجودة، يمكن للمهاجم منح رمز التزويد الخاص به وصولاً كاملاً كمستخدم متميز إلى مزود الهوية (IdP) وحجب جميع الإداريين الحاليين.

توجد مشكلة تتعلق بتصعيد الصلاحيات، حيث يمكن للمهاجم الذي يمتلك رمز تزويد SCIM محدد النطاق (على مستوى المصدر) الاستيلاء على أي حساب مستخدم، بما في ذلك حسابات المستخدمين المتميزين. ويحدث ذلك لأن وظيفة استيعاب مستخدمي SCIM تعتمد الحسابات المحلية الموجودة مسبقًا استنادًا إلى اسم المستخدم دون التحقق من حدود النطاق. ونتيجة لذلك، يمكن للمهاجم إعادة كتابة أو حذف أي حساب باستخدام بيانات اعتماد توفير محدودة.

تحدث ثغرة «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR) عندما يتيح أحد التطبيقات الوصول المباشر إلى الكائنات بناءً على المدخلات التي يقدمها المستخدم. في هذه الحالة، يمكن للمهاجمين عن بُعد غير المصادق عليهم استرداد أي سجل جهة اتصال من خلال وظيفة Parse Cloud المسماة `getcontact`. يتم تنفيذ الدالة باستخدام `useMasterKey` وتفشل في إجراء فحوصات المصادقة أو التفويض قبل إرجاع كائن جهة الاتصال المطلوب، مما يسمح بتعداد واسترجاع جميع سجلات جهات الاتصال، بما في ذلك المعلومات الشخصية القابلة للتعريف.

تحدث ثغرة «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR) عندما يتيح أحد التطبيقات الوصول المباشر إلى الكائنات بناءً على المدخلات التي يقدمها المستخدم. في هذه الحالة، يفشل معالج `AlbumCover` في التحقق مما إذا كان المستخدم الطالب مخولًا بالوصول إلى ألبوم معين قبل عرض صورة الغلاف. ونتيجة لذلك، يمكن لأي مستخدم يمتلك رمز معاينة صالحًا تعداد صور الغلاف بدقة أصلية وتنزيلها من ألبومات تخص مستخدمين آخرين.

تحدث ثغرة «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR) عندما يتيح أحد التطبيقات الوصول المباشر إلى الكائنات بناءً على المدخلات التي يقدمها المستخدم. في هذه الحالة، يمكن لأي منظم فعاليات تمت مصادقته إدخال أسماء الحاضرين والطلبات في فعاليات تابعة لحسابات أخرى من خلال نقطة النهاية «postInviteAttendee». تنشأ المشكلة لأن نقطة النهاية تقوم بتحميل الحدث المستهدف حسب المعرّف (ID) دون تقييد نطاق الاستعلام بحساب المنظم المصادق عليه، مما يسمح للمهاجم بتعديل بيانات الحدث والسجلات المالية عبر حدود الحسابات.

تحدث ثغرة «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR) عندما يتيح أحد التطبيقات الوصول المباشر إلى الكائنات بناءً على المدخلات التي يقدمها المستخدم. في هذه الحالة، يمكن لأي منظم فعاليات تمت مصادقته استيراد الحاضرين بشكل جماعي إلى فعاليات تابعة لحسابات أخرى من خلال نقطة النهاية «postImportAttendee». يقوم النظام بتحميل الحدث المستهدف حسب المعرّف (ID) دون التحقق مما إذا كان حساب منظم الحدث الطالب يمتلك هذا الحدث، مما يسمح للمهاجم بإدخال بيانات الحضور بالجملة إلى أي حدث بغض النظر عن حدود الحساب.

تسمح مشكلة تتعلق بالتحقق من سلامة البيانات للمهاجمين عن بُعد غير المصادق عليهم بتزوير إدخالات سجل التدقيق الخاصة بالمستندات. ويحدث ذلك من خلال وظيفة السحابة `triggerevent Parse`، التي تقبل هوية العارض وعنوان IP كمعلمات مقدمة من المتصل دون مصادقة. من خلال استغلال هذه الثغرة، يمكن للمهاجم تزوير إدخالات سجل التدقيق بشكل تعسفي والتلاعب بسجل التدقيق القانوني لأي مستند موقّع، مما يقوض مبدأ عدم الإنكار، وهو الضمان الذي يضمن عدم تمكن أي شخص من إنكار صحة شيء ما.

يحدث تجاوز للمصادقة عندما يتجاوز المستخدمون المصادق عليهم ذوو الامتيازات المنخفضة عمليات فحص التفويض الخاصة بوكيل Docker. ويرجع السبب في ذلك إلى عدم توحيد عناوين URL غير القياسية، حيث تفشل نقطة نهاية الوكيل في توحيد مسارات الطلبات قبل تطبيق ضوابط الوصول. يسمح هذا التباين للوكيل وطبقة التفويض بتفسير الطلبات المصممة خصيصًا بشكل مختلف، مما يتجاوز جميع برامج الوسيطة الخاصة بالتفويض ويمنح المهاجم وصولاً على مستوى الجذر إلى مضيف Docker الأساسي.

تسمح مشكلة تتعلق بانعدام المصادقة للمهاجمين عن بُعد غير المصادق عليهم بإنشاء جلسات عمل على بوابة Stripe Billing Portal لأي مستأجر. ويحدث ذلك عبر تعديل GraphQL المسمى `stripeCustomerPortal`، الذي لا يقوم بإجراء فحوصات المصادقة أو التفويض قبل ربط الجلسة بحساب Stripe الخاص بالمستأجر. ونتيجة لذلك، يمكن للمهاجم الوصول إلى بيانات الاشتراك الخاصة بأي مستأجر وإدارتها دون تقديم بيانات اعتماد.

تسمح مشكلة تتعلق بنقص المصادقة للمهاجمين عن بُعد غير المصادق عليهم بالتلاعب باشتراكات Stripe لأي مستأجر. ويحدث ذلك لأن تعديل GraphQL `stripeCreateIntent` يفتقر إلى فحوصات المصادقة والتفويض الضرورية، مما يمكّن المستخدمين غير المصرح لهم من إنشاء نوايا الدفع وتعديل تفاصيل الفوترة دون الحاجة إلى بيانات اعتماد.

توجد مشكلة تتعلق بالكشف عن المعلومات، حيث يمكن للمهاجمين عن بُعد غير المصادق عليهم ربط أي عنوان بريد إلكتروني أو اسم مستخدم بـ`objectId` الداخلي للمستخدم عبر وظيفة Parse Cloud `getUserId()`. تفشل الدالة في إجراء المصادقة قبل تحديد المعرف الداخلي وإرجاعه، مما يسمح بتعداد حسابات المستخدمين لتسهيل الهجمات اللاحقة.

تسمح مشكلة تتعلق بكشف المعلومات لأعضاء مساحة العمل المصادق عليهم بقراءة مسودات البرامج النصية القديمة التي لا يملكها أحد، والتي تحتوي على بيانات اعتماد الموارد بنص عادي. يحدث هذا لأن المسودات التي لا تحتوي على عنوان بريد إلكتروني للمالك تتجاوز تطبيق قائمة التحكم في الوصول (ACL) — وهي آلية أمان تحدد المستخدمين الذين يمكنهم الوصول إلى موارد معينة — ويتم إرجاعها إلى أي عضو يستعلم عن نقطة نهاية المسودات. ونتيجة لذلك، يتم الكشف عن بيانات الاعتماد الحساسة المخزنة في هذه المسودات عبر حدود قائمة التحكم في الوصول (ACL).

تسمح مشكلة تتعلق بنقص في إجراءات التفويض لأعضاء مساحة العمل المصادق عليهم بالكتابة فوق أي مخطط لنوع المورد. ويحدث ذلك لأن نقطة النهاية ’update resource type‘ تفشل في إجراء فحص أذونات المسؤول الموجود في نقطة النهاية ’delete resource type‘. يمكن للمهاجم الذي يتمتع بامتيازات عضو مساحة العمل استغلال هذه الثغرة لتلف تعريفات أنواع الموارد، مما قد يؤدي إلى تعطيل سير العمل المعتمد عليها.

تسمح مشكلة تتعلق بنقص في التفويض للمشغلين المصادق عليهم بكتابة تقدم المهام وقراءة مقاييس المهام لأي مهمة داخل مساحة العمل، بغض النظر عن ملكيتها. ويحدث ذلك لأن معالجات `job metrics` لا تستخدم أداة استخراج التفويض، مما يؤدي إلى تجاوز ضوابط الوصول على مستوى مساحة العمل. ونتيجة لذلك، يمكن للمشغل مراقبة البيانات الحساسة المتعلقة بتنفيذ المهام وإدخال بيانات تقدم مضللة للمهام التي لا يملكها.

تحدث ثغرة «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR) عندما يتيح أحد التطبيقات الوصول المباشر إلى الكائنات بناءً على المدخلات التي يقدمها المستخدم. في هذه الحالة، يمكن للمهاجمين عن بُعد غير المصادق عليهم الكتابة في أي سجل جهة اتصال باستخدام وظيفة Parse Cloud المسماة `updatecontacttour`. ونظرًا لعدم وجود فحوصات للمصادقة والتفويض في هذه الوظيفة، يمكن للمهاجم إتلاف أو استبدال بيانات جهات الاتصال الخاصة بأي مستخدم في النظام دون الحاجة إلى تقديم بيانات اعتماد.

تسمح مشكلة حقن SQL للمهاجمين عن بُعد غير المصادق عليهم بتنفيذ أوامر SQL تعسفية. يحدث هذا لأن المعلمة `order` في نقطة النهاية ’photo-view‘ يتم ربطها دون هروب إلى استعلام SHOW COLUMNS باستخدام استدعاء PDO::query() عاري، مما يتيح حقن الأوامر المتراكمة. وهذا يسمح للمهاجم بقراءة قاعدة البيانات بأكملها أو تعديلها أو حذفها.