Deathxcore

يمكن لأي مستخدم مصرح له بصلاحيات منخفضة إلغاء تنشيط أي حساب آخر بشكل دائم، بما في ذلك حسابات المسؤولين. يحدث هذا من خلال نقطة النهاية `POST /api/auth/user/invalidateUser`. تكمن المشكلة في `src/pages/api/auth/user/invalidateUser.ts` حيث تتحقق وظيفة `getServerSession` من وجود جلسة فقط ولكنها لا تقارن `session.user.id` مع متغير `userId` المقدم من العميل. من خلال تقديم `userId` الخاص بالضحية و `deviceId` لا يوجد له زوج مطابق في `UserDevice` يقوم المعالج بتعيين متغير `isActive` للحساب المستهدف إلى false. وبناءً على ذلك، يرفض الملف `src/server/auth.ts` محاولات تسجيل الدخول برسالة تفيد بأن الحساب منتهي الصلاحية. يحتاج المهاجم فقط إلى حساب مصرح له عادي ومعرف المستخدم الخاص بالضحية، والذي يمكن الحصول عليه من قوائم الأعضاء أو استجابات واجهة المستخدم أو السجلات أو البيانات الوصفية للتطبيق.

An insecure direct object reference occurs in the 'POST' and 'DELETE' '/api/beszel/user-alerts' endpoints. This allows authenticated users to create or delete alerts for systems they are not authorized to access by providing arbitrary system IDs in the request body. This can lead to the disclosure of target system names and metrics through the resulting notifications.