De3Erve

An unrestricted Server-Side Request Forgery (SSRF) allows authenticated users to force the server to send arbitrary HTTP/HTTPS requests to internal networks, localhost services, and cloud metadata endpoints, such as the AWS Instance Metadata Service (IMDS) at 169.254.169.254. When the `Setting::UserSignup` feature is enabled, low-privileged registered users can exploit this to scan internal services or steal cloud Identity and Access Management (IAM) credentials.

An unauthenticated Regular Expression Denial of Service (ReDoS) exists in the public Shop GraphQL API. The issue occurs when the `StringOperators.regex` filter is used, as the raw pattern is passed to a synchronous SQLite user-defined function (UDF) that executes within the Node.js event loop. An attacker can provide a catastrophically backtracking pattern—such as one containing nested quantifiers—to block the event loop, making the storefront and admin API unavailable. This specifically affects deployments using the `better-sqlite3` or `sqljs` database drivers. The `ShopProductsResolver.products` resolver is publicly accessible, allowing this attack to be triggered without authentication. PostgreSQL, MySQL, and MariaDB deployments are not affected as they do not execute this regular expression in the Node.js event loop.

An issue exists where webhook destinations are validated only during registration and not during use. The `NoInternalUrlRule` function in `backend/app/Validators/Rules/NoInternalUrlRule.php` uses `gethostbyname()` to reject private and reserved IP ranges, but public hostnames are permitted. During dispatch, the `WebhookDispatchService` utilizes the stored URL via `spatie/laravel-webhook-server` without re-validating the destination. Because `backend/config/webhook-server.php` does not configure Guzzle options, redirect following is enabled by default. This allows a destination to redirect the server to a loopback, private, or cloud metadata address, or allows an attacker to change a DNS record after registration to achieve the same result. The `WebhookResponseHandlerService` stores the response body in the webhook log, which is then exposed via the `WebhookLogResource` endpoint, allowing the requester to read responses from internal services. This affects both event and organizer webhooks.

توجد مشكلة في التحكم في الوصول في الدالة `RemoveDependency` الموجودة في ملف `routers/web/repo/issue dependency.go`. تعالج هذه الدالة معلمة النموذج `removeDependencyID` لتحديد وإزالة تبعية مشكلة باستخدام `issues model.GetIssueByID(ctx, depID)` دون إجراء الفحوصات اللازمة للمستودع أو الأذونات. وهذا يسمح للمهاجم الذي يمتلك حق الكتابة على المشكلات في مستودع ما بإزالة رابط التبعية لمشكلة في مستودع خاص آخر وإدراج تعليق في ذلك المستودع الخاص، حتى لو لم يكن لديه حق القراءة فيه. وتُعرف هذه المشكلة باسم «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR)، والتي تحدث عندما يوفر التطبيق وصولاً مباشراً إلى الكائنات بناءً على المدخلات التي يقدمها المستخدم دون الحصول على التفويض الكافي.

تتجاوز نقطة نهاية ربط مستودع الفريق إعداد المؤسسة `RepoAdminChangeTeamAccess`، الذي يهدف إلى التحكم في قدرة مسؤولي المستودع على تغيير صلاحيات وصول الفريق.