Datosh

يسمح تجاوز للمصادقة للمتصلين غير المصرح لهم بالحصول على رموز تعريف OIDC من خلال إساءة استخدام العملاء العامين الذين تم تمكين `client credentials` لديهم. يمكن للمهاجم الذي يعرف `client id` الخاص بعميل عام طلب رموز من نقطة النهاية 'identity/oidc/provider/<name>/token' لانتحال صفة العميل دون الحاجة إلى أي سر.

يوجد تجاوز لقواعد التحكم في الوصول (ACL) في طرق مصادقة AppRole و Cert و LDAP و RADIUS بسبب التوحيد الضمني للمسارات (implicit path canonicalization). توحيد المسار هو عملية تحويل مسار الملف أو رابط URL إلى تمثيل قياسي وفريد. يمكن للمهاجمين المصرح لهم طلب مسارات غير موحدة لمعرفات أدوار AppRole، أو قوائم إلغاء شهادات Cert، أو مجموعات ومستخدمي LDAP، أو مستخدمي RADIUS للالتفاف على قواعد رفض ACL.

يضم سير العمل `.github/workflows/python checks.yml` المتغير `github.event.pull request.title` مباشرةً داخل سلاسل bash محاطة بعلامتي اقتباس مزدوجتين عبر أربع خطوات ومهام منفصلة. يتم تمرير هذا المتغير كحجة CLI إلى البرنامج النصي للاختبار بلغة Python `run tests model gen and load.py`. ونظرًا لأن shell يفسر السلسلة الموسعة قبل استدعاء Python، يمكن للمهاجم الخروج من علامات الاقتباس لتنفيذ أوامر عشوائية على المشغل. يكون المشغل `pull request` نشطًا لطلبات السحب (PRs) التي تستهدف أي فرع دون بوابات وصول إضافية.