Byamb4

GeoNode هو نظام إدارة محتوى جغرافي مكاني يستخدم لإدارة ونشر البيانات الجغرافية المكانية. يمكن لمستخدم عن بُعد بصلاحيات منخفضة تنفيذ أوامر نظام تشغيل تعسفية على الخادم من خلال تحميل ملف متجه باسم طبقة مصمم خصيصاً يسمح بحقن صيغة shell.

توجد مشكلة رفض الخدمة عند استخدام diskStorage. تؤدي عمليات التحميل متعددة الأجزاء التي تم إيقافها أو التي تحتوي على أخطاء في التنسيق إلى ترك ملفات جزئية متروكة على القرص لأن استدعاء `Readable.pipe()` لا ينقل إشارة تدمير الدفق إلى `fs.WriteStream` الأساسي. وهذا يسمح للمهاجم باستنفاد مساحة القرص عن طريق تشغيل العديد من عمليات التحميل التي تم إيقافها.

Handlebars هو محرك قوالب يتيح للمستخدمين إنشاء قوالب دلالية. تحتوي الإصدارات من 4.0.0 إلى 4.7.8 على ثغرة في الدالة `resolvePartial()` داخل بيئة تشغيل Handlebars. تقوم هذه الدالة بحل الأسماء الجزئية باستخدام البحث عن الخاصية في `options.partials` دون منع اجتياز سلسلة النماذج الأولية. إذا كان `Object.prototype` ملوثًا بقيمة سلسلة تتطابق مع مرجع جزئي في قالب، يتم استخدام السلسلة الملوثة كنص جزئي ويتم عرضها دون هروب HTML، مما قد يؤدي إلى حدوث هجمات البرمجة النصية عبر المواقع (XSS) المنعكسة أو المخزنة.

يحتوي Picomatch، وهو أداة مطابقة glob في JavaScript، على ثغرة تسمح لتعبيرات الأقواس POSIX المصممة خصيصًا، مثل `[[:constructor:]]`، بإدخال أسماء الطرق الموروثة في التعبيرات النمطية التي يتم إنشاؤها، وذلك بسبب وراثة الكائن `POSIX REGEX SOURCE` من `Object.prototype`. ويؤدي ذلك إلى مطابقة glob غير صحيحة، مما قد يتسبب في أخطاء منطقية ذات صلة بالأمان في التطبيقات التي تعتمد على مطابقة glob للتصفية أو التحقق من الصحة أو التحكم في الوصول. لا تسمح هذه المشكلة بتنفيذ التعليمات البرمجية عن بُعد. تؤثر هذه الثغرة الأمنية على مستخدمي إصدارات `picomatch` المعنية التي تعالج أنماط glob غير موثوق بها أو التي يتحكم فيها المستخدم.

Picomatch، وهو أداة مطابقة أنماط glob مكتوبة بلغة JavaScript، معرضة لخطر رفض الخدمة باستخدام التعبيرات العادية (ReDoS) عند معالجة أنماط extglob المصممة خصيصًا. يمكن تجميع أنماط محددة تستخدم محددات الكمية في extglob مثل `+()` و`*()`، خاصةً عند دمجها مع بدائل متداخلة أو أنماط extglob متداخلة، في تعبيرات عادية تُظهر تراجعًا كارثيًا عند وجود مدخلات غير متطابقة. التطبيقات التي تسمح للمستخدمين غير الموثوق بهم بتزويد `picomatch` بأنماط glob للتجميع أو المطابقة معرضة للخطر. يمكن للمهاجم أن يتسبب في استهلاك مفرط لوحدة المعالجة المركزية (CPU) ويعطل حلقة أحداث Node.js، مما يؤدي إلى رفض الخدمة. التطبيقات التي تستخدم فقط أنماط glob موثوقة وخاضعة لسيطرة المطورين أقل عرضة للتأثر.

music-metadata هو محلل بيانات وصفية لملفات الوسائط الصوتية والمرئية. يمكن أن يدخل محلل ASF الموجود داخل music-metadata، وتحديدًا الدالة `parseExtensionObject()` في `lib/asf/AsfParser.ts:112-158`، في حلقة لا نهائية عند معالجة كائن امتداد رأس ASF يحتوي على كائن فرعي بقيمة `objectSize` تساوي 0. يحدث هذا لأن الدالة `ignore()` الموجودة داخل أداة تحليل الرموز (tokenizer) تقبل القيم السالبة دون التحقق من صحتها، مما يؤدي إلى إعادة قراءة رأس ملف بحجم 24 بايت بشكل مستمر. الطرق المتأثرة هي `parseFile()` و`parseBuffer()`. يُقدَّر أن حوالي 2.2 مليون عملية تنزيل أسبوعية من npm قد تتأثر بهذا الخلل. يمكن لملف .asf مصمم خصيصًا بحجم 100 بايت أن يتسبب في توقف التطبيقات التي تستخدم `parseFile()` أو `parseBuffer()` إلى أجل غير مسمى. لا تتأثر الدالة `parseStream()` لأنها تستخدم تطبيقًا مختلفًا لـ `ignore()` يطلق استثناء RangeError.

تقوم وظيفة file-type باكتشاف نوع ملف أو دفق أو بيانات. يمكن لملف ZIP مصمم خصيصًا أن يتسبب في زيادة مفرطة في استهلاك الذاكرة أثناء عملية اكتشاف النوع عند استخدام واجهات برمجة التطبيقات (API) `fileTypeFromBuffer()` أو `fileTypeFromBlob()` أو `fileTypeFromFile()`. يتم فرض حد إخراج ZIP inflate على عملية الاكتشاف القائمة على الدفق، ولكن لا يتم فرضه على المدخلات ذات الحجم المعروف. وهذا يسمح لملف ZIP مضغوط صغير الحجم بأن يتسبب في تضخم وظيفة file-type ومعالجتها لحمولة أكبر بكثير أثناء فحص التنسيقات المستندة إلى ZIP مثل OOXML. هذه مشكلة تتعلق بتوافر الخدمة، وقد تؤدي إلى استهلاك التطبيقات لكميات كبيرة من الذاكرة، أو إبطاء أدائها، أو تعطلها. تنشأ المشكلة من تطبيق حدود مختلفة على عملية الكشف عن ملفات ZIP بناءً على ما إذا كان حجم الملف معروفًا لبرنامج تحليل الرموز أم لا. بالنسبة للمدخلات ذات الحجم المعروف، تم استخدام `Number.MAX SAFE INTEGER` بدلاً من حد أكثر ملاءمة، مما سمح لملف ZIP مصمم خصيصًا بتجاوز حد التوسيع المقصود. يمكن لملف ZIP بحجم 255 كيلوبايت تقريبًا أن يتسبب في نمو حجم RSS بنحو 257 ميغابايت أثناء تنفيذ `fileTypeFromBuffer()` في الإصدار 21.3.1. واجهات برمجة التطبيقات (APIs) المتأثرة هي `fileTypeFromBuffer()` و`fileTypeFromBlob()` و`fileTypeFromFile()`.

Locutus هي مكتبة JavaScript تهدف إلى نقل المكتبات القياسية من لغات البرمجة الأخرى إلى JavaScript لأغراض تعليمية. تقوم الدالة `create function(args, code)` في الإصدارات السابقة للإصدار 3.0.14 بتمرير كلا المعلمتين مباشرةً إلى مُنشئ `Function` دون أي عملية تنقية. وهذا يسمح بتنفيذ تعليمات برمجية عشوائية. تكمن المشكلة في الملف `src/php/funchand/create function.ts`، وتحديدًا في السطر 17، حيث يتم استخدام `new Function(...params, code)` دون التحقق من صحة المدخلات. يمكن للمهاجم الذي يستطيع التحكم في أي من معلمتي الدالة `create function()` تحقيق تنفيذ كامل للتعليمات البرمجية عن بُعد (RCE). ويُحتمل أن يتأثر ما يقارب 597,000 تنزيل أسبوعي من npm بهذه المشكلة. يُظهر إثبات المفهوم (PoC) القدرة على تنفيذ أوامر النظام باستخدام `require(”child process“).execSync(”id“)` من خلال الدالة المعرضة للخطر. تختلف هذه المشكلة عن CVE-2026-29091، التي تضمنت استخدام `call user func array` مع `eval()` في الإصدارات الأقدم.

flatted هو محلل JSON دائري. تستخدم الدالة `parse()` مرحلة `revive()` التكرارية لحل الإشارات الدائرية في JSON الذي تم فك تسلسله. عند تزويدها بحمولة مصممة خصيصًا تحتوي على مؤشرات `$` متداخلة بعمق أو ذاتية الإشارة، تصبح عمق التكرار غير محدود، مما يؤدي إلى تجاوز سعة المكدس وتعطل عملية Node.js. وقد يؤدي ذلك إلى هجوم رفض الخدمة (DoS). يحظى البرنامج بحوالي 87 مليون تنزيل أسبوعي عبر npm، ويُستخدم في العديد من مكتبات التخزين المؤقت والتسجيل. تنشأ المشكلة عن طريق تمرير مدخلات غير موثوق بها إلى دالة `flatted.parse()`. يوضح نموذج إثبات المفهوم كيفية إنشاء سلسلة إحالات دائرية متداخلة بعمق لتسبب تجاوز سعة المكدس. المكون المعرض للخطر هو دالة `parse()`، التي تستخدم دالة `revive()`.

سمح خلل في التحقق من صحة عنوان URL الخاص بالاستدعاء المرتد (callback) لقيم `redirect uri` المُتلاعب بها، والتي تحتوي على معلومات المستخدم في عنوان URL (`@`)، بالتحايل على عمليات التحقق الشرعية من نمط الاستدعاء المرتد. إذا تمكن المهاجم من حث مستخدم على فتح رابط تفويض ضار، فقد يتم إعادة توجيه رمز التفويض إلى مضيف يسيطر عليه المهاجم. تؤثر هذه المشكلة على مزود OpenID Connect (OIDC)، مما يسمح للمستخدمين بتوثيق هويتهم باستخدام مفاتيح المرور.

تتحقق عملية التحقق من صحة عنوان URL الخاص بـ webhook في `plane/app/serializers/webhook.py` فقط مما إذا كان عنوان IP هو عنوان loopback، مما يسمح للمهاجمين الذين يمتلكون دور ADMIN في مساحة العمل بإنشاء webhooks موجهة إلى عناوين شبكة خاصة أو داخلية، مثل `10.x.x.x` و`172. 16.x.x` و`192.168.x.x` و`169.254.169.254`. وعندما يتم تشغيل أحداث الويب هوك، يرسل الخادم طلبات إلى هذه العناوين الداخلية ويخزن الرد، مما يتيح حدوث تزوير طلبات من جانب الخادم (SSRF) مع قراءة كاملة للرد. قد يؤدي ذلك إلى تسرب البيانات الوصفية من السحابة، ومسح الخدمات الداخلية، وتسرب البيانات عبر سجلات الاستجابة.

برنامج SVGO معرض لمشكلة رفض الخدمة (DoS) ناجمة عن المعالجة غير السليمة للكيانات المخصصة في XML. وعلى وجه التحديد، لا يوفر البرنامج الحماية الكافية ضد توسع الكيانات أو تكرارها. يمكن لملف XML صغير ومصمم بشكل خبيث (حوالي 811 بايت) أن يتسبب في توقف التطبيق أو تعطله بسبب الاستهلاك المفرط للذاكرة، مما يؤدي إلى حدوث خطأ استنفاد الذاكرة في كومة JavaScript. تنشأ المشكلة لأن SVGO يستخدم محلل XML أولي لا يفسر، بشكل افتراضي، كيانات XML المخصصة. يقوم SVGO بتعديل المحلل لدعم الكيانات المعلنة في DOCTYPE، لكن هذا ينطوي على خطر التوسع الأسي عندما تشير الكيانات إلى بعضها البعض. وقد يحدث هذا عند معالجة مدخلات SVG غير موثوقة، مما قد يؤثر على التطبيقات من جانب الخادم.

يحتوي البرنامج على ثغرة تتمثل في أن نقاط نهاية إجراءات تفاصيل الروتين تتحقق من ذاكرة التخزين المؤقت قبل تأكيد ملكية الكائن باستخدام `self.get object()`. يتم تعريف مفاتيح ذاكرة التخزين المؤقت بالمفتاح الأساسي (`pk`) فقط ولا تتضمن معرّف المستخدم. وهذا يسمح للمهاجم باسترداد الردود المخزنة مؤقتًا للمفتاح الأساسي لإحدى الروتينات دون الحصول على التفويض المناسب، في حال كان الضحية قد قام سابقًا بالوصول إلى الروتين عبر واجهة برمجة التطبيقات (API). **نقاط نهاية واجهة برمجة التطبيقات** المتأثرة هي: ’/api/v2/routine/{pk}/date-sequence-display/‘، ’/api/v2/routine/{pk}/date-sequence-gym/‘، '/api/v2/routine/{pk}/structure/’، و‘/api/v2/routine/{pk}/logs/’، و‘/api/v2/routine/{pk}/stats/'. المتغير المعرض للخطر المستخدم في إنشاء مفتاح ذاكرة التخزين المؤقت هو `routine id`. يمكن للمهاجم، نظريًا، استرداد تفاصيل روتين مستخدم آخر، بما في ذلك تسلسل أيام التدريب، وهيكل التمارين، وسجلات التدريب، والإحصائيات، من ذاكرة التخزين المؤقت دون التحقق من الملكية. مدة صلاحية (TTL) ذاكرة التخزين المؤقت هي شهر واحد.

wger هو برنامج مجاني ومفتوح المصدر لإدارة التدريبات واللياقة البدنية. تعالج الإصدارات حتى الإصدار 2.4 (بما في ذلك) عملية استرداد بيانات المستخدم بشكل غير صحيح. تُرجع نقاط نهاية واجهة برمجة التطبيقات (API) `RepetitionsConfigViewSet` و`MaxRepetitionsConfigViewSet` بيانات تكوين التكرارات لجميع المستخدمين لأن الدالة `get queryset()` تستدعي `.all()` بدلاً من التصفية حسب المستخدم المصادق عليه (`user`). وهذا يسمح لأي مستخدم مسجل بإدراج هيكل التدريب لجميع المستخدمين الآخرين. نقاط نهاية واجهة برمجة التطبيقات (API) المعنية هي `RepetitionsConfigViewSet` و`MaxRepetitionsConfigViewSet`. الدالة المعرضة للثغرة هي `get queryset()`.

wger هو برنامج مجاني ومفتوح المصدر لإدارة التدريبات واللياقة البدنية. توجد ثغرة أمنية تتمثل في أن ثلاث نقاط نهاية (endpoints) لعملية `nutritional values` تتجاوز مجموعات الاستعلامات (querysets) المحددة لكل مستخدم من خلال استدعاء ORM خام، وتحديدًا `Model.objects.get(pk=pk)`. وهذا يسمح لأي مستخدم مسجل الدخول بالوصول إلى البيانات الخاصة بخطة التغذية الخاصة بمستخدم آخر، بما في ذلك السعرات الحرارية المتناولة وتوزيع المغذيات الكبيرة، من خلال توفير مفتاح أساسي (`pk`) عشوائي. تم إصلاح الخلل في الالتزام (commit) رقم 29876a1954fe959e4b58ef070170e81703dab60e.

يحتوي Parse Dashboard، وهو لوحة تحكم مستقلة لإدارة تطبيقات Parse Server، على ثغرات أمنية في نقطة نهاية واجهة برمجة تطبيقات (API) لـ AI Agent (`/apps/:appId/agent`). تتأثر الإصدارات من 7.3.0-alpha.42 إلى 9.0.0-alpha.7 بعدة ثغرات أمنية يمكن أن تسمح، عند تضافرها، للمهاجمين غير المصادقين بإجراء عمليات قراءة وكتابة تعسفية في أي قاعدة بيانات لـ Parse Server متصلة باستخدام المفتاح الرئيسي. يجب أن تكون ميزة الوكيل (Agent) ممكّنة حتى تتأثر لوحة التحكم. تنبع المشكلة من عدم وجود المصادقة، والتحقق من صحة طلبات التزوير عبر المواقع (CSRF)، والتفويض حسب التطبيق في نقطة نهاية الوكيل. كما ساهم تضارب مفتاح ذاكرة التخزين المؤقت بين المفتاح الرئيسي والمفتاح الرئيسي للقراءة فقط في حدوث المشكلة.

يحتوي Parse Dashboard، وهو لوحة تحكم مستقلة لإدارة تطبيقات Parse Server، على مشكلة تتمثل في أن نقطة نهاية واجهة برمجة تطبيقات (API) لوكيل الذكاء الاصطناعي (`POST /apps/:appId`) تفتقر إلى إجراءات التحقق من التفويض المناسبة. يمكن للمستخدمين المصادق عليهم الذين يتمتعون بحق الوصول إلى تطبيقات محددة الوصول إلى نقطة نهاية وكيل أي تطبيق آخر عن طريق تعديل `appId` في عنوان URL. ويحصل المستخدمون ذوو صلاحية القراءة فقط على المفتاح الرئيسي الكامل بدلاً من المفتاح الرئيسي للقراءة فقط، مما يتيح لهم إجراء عمليات الكتابة والحذف بما في ذلك أذونات الكتابة في نص الطلب. ولا تتأثر سوى اللوحات التي تم تمكين إعداد `agent` فيها.

Manyfold هو تطبيق ويب ذاتي الاستضافة يُستخدم لإدارة النماذج ثلاثية الأبعاد، مع التركيز على الطباعة ثلاثية الأبعاد. قبل الإصدار 0.133.0، كان بإمكان المستخدم المصادق عليه تنفيذ «تنفيذ رمز عن بُعد» (RCE) عندما يكون إنشاء عرض النماذج ممكّنًا. ويحدث ذلك عند تحميل ملف ZIP يحتوي على ملف يحمل حرفًا خاصًّا بالشل في اسمه. ثم يتم تمرير اسم الملف إلى استدعاء علامة backtick في لغة Ruby دون التعقيم اللازم. المكون المعرض للخطر هو معالجة أسماء الملفات أثناء معالجة ملفات ZIP. تُستخدم المتغير `filename` في استدعاء علامة backtick في لغة Ruby.

Karakeep هو تطبيق قابل للاستضافة الذاتية يتيح وضع علامات على كل شيء. لا يقوم الإصدار 0.30.0 بتنقية محتوى HTML المستلم من المكون الإضافي metascraper الخاص بـ Reddit بشكل مناسب. وعلى وجه التحديد، عندما يُرجع المكون الإضافي `readableContentHtml`، يستخدم التطبيق هذا المحتوى مباشرةً في عملية تحليل HTML دون تمريره عبر DOMPurify. ثم يتم إدخال هذا المحتوى غير المُعقَّم إلى نموذج كائن المستند (DOM) الخاص بالتطبيق عبر `dangerouslySetInnerHTML` في React، مما قد يسمح بتنفيذ كود HTML ضار في متصفح المستخدم.

InvenTree هو نظام مفتوح المصدر لإدارة المخزون. قبل الإصدار 1.2.3، يمكن استغلال نماذج غير آمنة على جانب الخادم لتسريب معلومات سرية إلى العميل. عند إنشاء رموز دفعات مخصصة، يستخدم خادم InvenTree قالب jinja2 قابل للتخصيص، والذي يمكن تعديله من قبل مستخدم يتمتع بصلاحيات الموظفين لسرقة معلومات حساسة أو تنفيذ تعليمات برمجية على الخادم. تتطلب هذه المشكلة وصول مستخدم يتمتع بصلاحيات الموظفين، يليه طلب لإنشاء رمز دفعة مخصص عبر واجهة برمجة التطبيقات (API). وبمجرد تعديل القالب بشكل خبيث، يمكن لمستخدمين آخرين إجراء استدعاء واجهة برمجة التطبيقات (API) لإنشاء رمز دفعة جديد، وسيتم تنفيذ كود القالب في سياق المستخدم الخاص بهم. ويُعد قالب رمز الدفعة إعدادًا عامًا قابلًا للتعديل يمكن لأي مستخدم يتمتع بحقوق وصول الموظفين تعديله. وتُستخدم نقطة نهاية واجهة برمجة التطبيقات (API) المعرضة للخطر لإنشاء رمز دفعة جديد. المعلمات المعرضة للخطر هي تلك المستخدمة لتخصيص قالب jinja2.