Crypto-Cat

توجد ثغرة حقن SQL في التحميل المسبق (eager-loading) لـ GraphQL، حيث يتم نسخ الوسائط في العقد القابلة للتحميل المسبق والغائبة عن المخطط العام إلى معايير `EagerLoadPlan` دون تطهير. يمكن للمهاجمين غير المصرح لهم تقديم وسيط اختيار بين قوسين لحقن تعبيرات SQL، مما يسمح لهم بقراءة محتويات قاعدة بيانات عشوائية، بما في ذلك رموز الجلسات وتجزئات كلمات المرور.

توجد مشكلة في معالجة تحميل الملفات حيث لا يتم التحقق من مسار الوجهة قبل الكتابة على القرص. يسمح هذا للمهاجمين المصرح لهم بتنفيذ path traversal، وهو أسلوب للوصول إلى الملفات والمجلدات المقيدة عن المستخدم، من خلال تحميل ملفات مصممة خصيصاً إلى مواقع خارج دليل التخزين المخصص لتحقيق تنفيذ عن بعد للكود على الخادم.

توجد ثغرة تسمح بقراءة ملفات عشوائية في معالجة السمات ضمن HTML الخاص برسائل البريد الإلكتروني الصادرة. يمكن للمهاجمين الذين يستطيعون تقديم محتوى البريد الإلكتروني الصادر تعيين قيمة سمة تشير إلى مسار ملف محلي، مما يؤدي إلى كشف ملفات حساسة من الخادم.

A failure in the database connection is incorrectly interpreted as the software not being installed. This allows anonymous installer actions, such as `install/validate-site`, to be accessed on a production site if PHP is available but the MySQL endpoint is not. The process accepts a site name, serializes it via `Site::getName()`, and expands `${NAME}` expressions using `App::env()`. An unauthenticated attacker with a valid guest session cookie and CSRF token can provide a predictable variable name, such as `CRAFT SECURITY KEY`, to disclose sensitive information including process environment variables, `$ SERVER` entries, PHP constants, database credentials, or API keys. This issue requires an independent database outage to be exploitable.

An issue exists where the software signs an authenticated user's attacker-controlled license-shun cookie using the same key and format used to validate signed redirect parameters. This occurs because the HMAC signature is not bound to its purpose, as the `cookieValidationKey` is derived from the same `securityKey` used for signed request parameters. An authenticated, non-administrator user can set the cookie via the license-shun endpoint and transplant the signed envelope into the redirect parameter. Upon a successful login, the system validates the signature and renders the authenticated bytes as an unsandboxed Twig template. Within this template, the `map` filter accepts a string callback, allowing the `system()` function to execute arbitrary operating-system commands as the web-server user. Exploitation requires an account using password authentication without active 2FA, the default request configuration, and the availability of the PHP `system()` function.

يمكن للمهاجم الذي يمتلك حسابًا على GitHub إدخال حمولة JavaScript في عنوان مشكلة في craftcms/cms. يتم تنفيذ الحمولة داخل جلسة لوحة التحكم لمسؤول Craft عند استخدامه لشاشة «تقديم ملاحظات» في أداة CraftSupport وإدخال مصطلح بحث يسترد المشكلة الملوثة. لا تتطلب هذه العملية أي حساب في لوحة التحكم أو امتيازات عالية من المهاجم.

توجد مشكلة في البرمجة النصية عبر المواقع المخزنة، حيث يمكن للمستخدم الذي يتمتع بأذونات لوحة التحكم على مستوى المؤلف تضمين حمولة JavaScript ضارة داخل عنوان الإدخال. ويتم التنفيذ عندما يقوم مسؤول أو مستخدم يتمتع بأذونات `saveEntries` لنفس قسم الهيكل بإجراء عملية سحب على إدخال آخر أسفل الإدخال المتأثر في عرض الجدول. يحدث هذا لأن الخادم يقوم بتحويل العنوان إلى `data-title`، والذي يقوم المتصفح بفك تشفيره ويقرأه jQuery عبر `.data(’title‘)`، ثم يربطه لاحقًا في سلسلة HTML جديدة دون إجراء التحويل المناسب للسمات. يتطلب الاستغلال الناجح أن يكون لدى المهاجم دور «مؤلف» على الأقل، وأن يقوم الضحية بإجراء عملية سحب محددة أثناء امتلاكه امتيازات جلسة عمل مرتفعة.