D3Do-23

**اسم البرنامج المصاب والإصدارات المتأثرة** EspoCRM الإصدارات من 4.0.0 إلى 10.0.6 **الوصف** توجد مشكلة في التحكم في الوصول تسمح للمستخدمين المصرح لهم بقراءة قيم `emailAddress` المقيدة. يحدث هذا عندما يقوم المستخدمون الذين لديهم صلاحية الوصول إلى السجلات بالاستعلام عن واجهة برمجة تطبيقات البحث في دفتر العناوين (address-book search API)، مما يمكنهم من الحصول على عناوين البريد الإلكتروني حتى عندما تقيد الأدوار (Roles) حقل `emailAddress`. **التوصيات** التحديث إلى الإصدار 10.0.7 أو أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** EspoCRM الإصدارات من 4.0.0 إلى 10.0.6 **الوصف** توجد مشكلة في التحكم في الوصول تسمح للمستخدمين المصرح لهم بقراءة قيم الحقول المدققة والمقيدة بأمان على مستوى الحقل. من خلال جلب ملاحظات التدفق الفردية، يمكن للمستخدم الذي لديه وصول إلى تدفق سجل أب طلب نقطة النهاية 'GET /Note/{id}'. يتجاوز هذا الإجراء فلتر `NoteAccessControl` مما يسمح باستعادة قيم `data.attributes.was` و `became` للحقول المقيدة. **التوصيات** تحديث EspoCRM إلى الإصدار 10.0.7 أو أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Parse Server الإصدارات السابقة لـ 8.6.93 Parse Server الإصدارات من 9.0.0 إلى 9.10.1-alpha.12 **الوصف** لا يتم فرض `protectedFields` ذات النطاق الهوياتي (بما في ذلك المجموعات الموثقة أو المجموعات القائمة على الأدوار أو المجموعات الخاصة بالمستخدم) في استعلامات العد التي تستخدم عامل التشغيل `$relatedTo`. يتيح ذلك للمستخدم الموثق الذي يملك صلاحية القراءة للكائن المالك دمج عمليات العد مع قيد `objectId` كأداة استعلام عن العضوية (membership oracle)، مما قد يؤدي إلى كشف حجم حقول العلاقة المحمية والعضويات السرية، مثل قوائم الحظر أو المجموعات الخاصة. **التوصيات** تحديث Parse Server إلى الإصدار 8.6.93 أو أحدث. تحديث Parse Server إلى الإصدار 9.10.1-alpha.13 أو أحدث.

**Name of the Vulnerable Software and Affected Versions** Parse Server versions 9.0.0 through 9.10.1-alpha.7 Parse Server versions prior to 8.6.89 **Description** LiveQuery evaluates the `protectedFields` class-level permission using an incompletely resolved caller identity. Because subscriber roles are not resolved and subscriptions without a session token are redacted against an anonymous identity, field masks defined for specific roles, authenticated users, or individual users are not applied. This allows authenticated subscribers to receive field values that the REST API would normally withhold and enables the use of masked fields to filter or watch a subscription. This issue only affects classes with LiveQuery enabled that define `protectedFields` under role, authenticated, or per-user groups; masks under the public (*) group function correctly. **Recommendations** Update versions 9.0.0 through 9.10.1-alpha.7 to version 9.10.1-alpha.8. Update versions prior to 8.6.89 to version 8.6.89. Define the affected field masks under the public (*) group. Disable LiveQuery for classes whose class-level permissions rely on role-scoped, authenticated, or per-user `protectedFields` groups.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات LLaMA-Factory الأقدم من 0.9.4 **الوصف** يحتوي LLaMA-Factory، وهو مكتبة ضبط للنماذج اللغوية الضخمة، على ثغرة أمنية تتمثل في تزوير الطلبات من جانب الخادم (SSRF) في واجهة برمجة تطبيقات الدردشة. يمكن للمستخدمين المصادق عليهم إجبار الخادم على إرسال طلبات HTTP تعسفية إلى الشبكات الداخلية والخارجية، مما قد يؤدي إلى كشف خدمات داخلية حساسة، أو السماح بالتعرف على الشبكة، أو التفاعل مع خدمات جهات خارجية. كما توجد ثغرة أمنية تتمثل في «تضمين الملفات المحلية» (LFI)، مما يسمح للمستخدمين بقراءة ملفات تعسفية من نظام ملفات الخادم. يكمن الخلل في الدالة ` process request` الموجودة في `src/llamafactory/api/chat.py`. تعالج هذه الدالة المحتوى متعدد الوسائط لعناوين URL، وإذا لم تكن عنوان URL عبارة عن معرّف موارد (URI) لبيانات base64 أو مسار ملف محلي، فإنها تقوم بإرسال طلب HTTP GET باستخدام `requests.get(url, stream=True).raw` دون التحقق من صحة عنوان URL أو تنقيته. **التوصيات** قم بتحديث LLaMA-Factory إلى الإصدار 0.9.4 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات vLLM من 0.8.0 إلى 0.8.4 **الوصف** تتعلق المشكلة بثغرة أمنية حرجة في الأداء في منطق المعالجة المسبقة لمدخلات أداة الترميز متعددة الوسائط. وتنتج هذه الثغرة عن عمليات ربط القوائم غير الفعالة، مما يؤدي إلى تعقيد زمني تربيعي (O(n²))، وهو ما يسمح للجهات الخبيثة بإحداث استنفاد للموارد من خلال مدخلات مصممة خصيصًا. **التوصيات** بالنسبة للإصدارات من 0.8.0 إلى 0.8.4، قم بالتحديث إلى الإصدار 0.8.5 لحل المشكلة. كحل بديل مؤقت، ضع في اعتبارك تقييد استخدام أداة الترميز متعددة الوسائط لتقليل مخاطر الاستغلال إلى أدنى حد.