Dellalibera

The default `blockUnsafeOperationsPlugin` compares parsed option names with literal dangerous option spellings, but Git accepts unambiguous long-option abbreviations. This allows attacker-influenced push arguments, such as abbreviated forms of `--receive-pack` or `--exec`, to bypass the `detectVulnerableFlags` function. Consequently, Git may invoke an attacker-selected command when these arguments are passed to a local or file remote, or an attacker-influenced receive-pack target.

Serverless Framework هو إطار عمل يُستخدم لإنشاء تطبيقات باستخدام AWS Lambda وخدمات سحابية مُدارة أخرى. توجد مشكلة تتعلق بحقن الأوامر في حزمة خادم MCP المدمجة في Serverless Framework (@serverless/mcp). ويؤثر ذلك على مستخدمي ميزة خادم MCP التجريبية، الذين يمثلون أقل من 0,1% من مستخدمي Serverless Framework. لا تتأثر واجهة سطر الأوامر (CLI) الرئيسية لـ Serverless Framework ووظيفة النشر. تنشأ المشكلة عن الاستخدام غير المُعقم لمعلمات الإدخال داخل استدعاء لـ `child process.exec`، مما يسمح للمهاجم بحقن أوامر نظام عشوائية. قد يؤدي الاستغلال الناجح إلى تنفيذ التعليمات البرمجية عن بُعد بامتيازات عملية الخادم. يقوم الخادم بإنشاء أوامر شل وتنفيذها باستخدام مدخلات المستخدم غير المُثبتة صحتها، مما يخلق إمكانية لحقن أحرف شل خاصة، مثل `|` و`>` و`&&`.

Deno هو بيئة تشغيل لـ JavaScript و TypeScript و WebAssembly. لا تفرض الدالتان `Deno.FsFile.prototype.stat` و`Deno.FsFile.prototype.statSync` قيد الأذونات `--deny-read=./`. وهذا يسمح بالحصول على إحصائيات الملفات التي لا يمتلك المستخدم حق القراءة الصريح فيها، حتى عند تشغيل البرنامج النصي مع العلامة `--deny-read=./`. على الرغم من أن وظائف مثل `Deno.stat` و`Deno.statSync` تتطلب الإذن `allow-read`، فإن فتح ملف بعلامات «للكتابة فقط» وإذن «deny-read» لا يمنع الحصول على إحصائيات الملف، مما يتجاوز نموذج الأذونات.

Deno هو بيئة تشغيل لـ JavaScript و TypeScript و WebAssembly. لا تخضع الدالتان `Deno.FsFile.prototype.utime` و `Deno.FsFile.prototype.utimeSync` للتحقق من نموذج الأذونات `--deny-write=./` في الإصدارات الأقدم من 2.5.3 و 2.2.15. وهذا يسمح بتعديل وقت الوصول (`atime`) ووقت التعديل (`mtime`) للملف، حتى عندما يتم فتح الملف بأذونات القراءة فقط ولا يُسمح بعمليات الكتابة. على الرغم من أن واجهات برمجة التطبيقات (APIs) مثل `Deno.utime` و`Deno.utimeSync` تتطلب الإذن `allow-write`، فإن هذا الالتفاف ممكن عندما يُفتح الملف بعلامات «للقراءة فقط» ويكون الإذن `deny-write` محددًا.

oak هو إطار عمل للبرمجيات الوسيطة (middleware) مخصص لخادم HTTP الأصلي في Deno، وDeno Deploy، وNode.js 16.5 أو الأحدث، وCloudflare Workers، وBun. قد تؤدي القيم المصممة خصيصًا في رؤوس `x-forwarded-proto` أو `x-forwarded-for` إلى إبطاء خادم oak بشكل ملحوظ.

تتعرض وحدة `tmp` في Node.js في الإصدارات 0.2.3 والإصدارات الأقدم لثغرة أمنية تتمثل في الكتابة التعسفية على الملفات/المجلدات المؤقتة، وذلك بسبب المعالجة غير السليمة للروابط الرمزية أثناء تحليل المسارات. وعلى وجه التحديد، لا تعالج الدالة ` resolvePath` الروابط الرمزية بشكل مناسب، مما يسمح لمهاجم خبيث بالتحايل على القيود المفروضة على مواقع إنشاء الملفات المؤقتة. ومن خلال توفير معلمة `dir` تشير إلى رابط رمزي يُحل إلى دليل خارج الدليل المؤقت المخصص، يمكن للمهاجم كتابة ملفات مؤقتة في مواقع عشوائية على النظام.

برنامج IPX، وهو مُحسِّن للصور يستخدم sharp و svgo، معرض لثغرة تتعلق بتجاوز بادئة المسار عند التحقق مما إذا كان المسار يقع ضمن الدلائل المسموح بها. يحدث ذلك عندما لا تنتهي الدلائل المسموح بها بفاصل مسار، حيث يعتمد التحقق على مقارنة بادئة السلسلة بشكل مباشر. وهذا يسمح بالوصول إلى الملفات الموجودة خارج الدلائل المقصودة.

توجد ثغرة أمنية تتعلق بحقن الأوامر في خادم MCP `@translated/lara-mcp` بسبب الاستخدام غير المُعقم لمعلمات الإدخال في استدعاء `child process.exec`. قد يؤدي الاستغلال الناجح لهذه الثغرة إلى تنفيذ التعليمات البرمجية عن بُعد بامتيازات عملية الخادم. يقوم الخادم بإنشاء وتنفيذ أوامر شل باستخدام مدخلات مستخدم غير مصدقة، مما يفتح الباب أمام إمكانية حقن أحرف شل الخاصة. يمكن للمهاجم استغلال هذه الثغرة الأمنية عن طريق الحقن غير المباشر لموجه الأوامر، من خلال إنشاء مدخلات ضارة داخل الملفات أو مصادر البيانات البعيدة التي يعالجها الخادم. وهذا يسمح بتنفيذ أوامر تعسفية على الجهاز المضيف.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: node-code-sandbox-mcp الإصدارات الأقدم من 1.3.0 الوصف: تنشأ المشكلة عن الاستخدام غير المُعقم لمعلمات الإدخال في استدعاء `child process.execSync`، مما يسمح للمهاجم بحقن أوامر تعسفية في النظام. قد يؤدي الاستغلال الناجح إلى تنفيذ التعليمات البرمجية عن بُعد بامتيازات عملية الخادم على الجهاز المضيف، متجاوزًا حماية صندوق الحماية (sandbox) لتنفيذ التعليمات البرمجية داخل Docker. التوصيات: بالنسبة للإصدارات الأقدم من 1.3.0، قم بالتحديث إلى الإصدار 1.3.0 لحل المشكلة. كحل بديل مؤقت، ضع في اعتبارك تقييد استخدام الدالة `child process.execSync` لتقليل مخاطر الاستغلال إلى الحد الأدنى.

توجد ثغرة أمنية تتعلق بحقن الأوامر في العديد من خوادم MCP (بروتوكول سياق النموذج). تنجم هذه الثغرة عن الاستخدام غير المُعقم لمعلمات الإدخال داخل استدعاءات `child process.exec` أو `child process.execSync`، مما يسمح للمهاجم بحقن أوامر تعسفية في النظام. قد يؤدي الاستغلال الناجح إلى تنفيذ التعليمات البرمجية عن بُعد بامتيازات عملية الخادم، مما قد يؤدي إلى تجاوز آليات الحماية (sandboxing) في بعض الحالات. تقوم الخوادم بإنشاء أوامر شل وتنفيذها باستخدام مدخلات المستخدم غير المصادق عليها مباشرةً داخل سلاسل أوامر سطر الأوامر، مما يفتح الباب أمام إمكانية حقن أحرف شل الخاصة (`|`، `>`، `&&`، إلخ). يمكن أن يحدث الاستغلال من خلال التنفيذ المباشر للأمر أو الحقن غير المباشر لموجه الأوامر عبر محتوى ملف أو رسائل السجل.

يُعتبر MCP Server Kubernetes عرضة لمشكلة حقن الأوامر بسبب الاستخدام غير المُعقَّم لمعلمات الإدخال داخل استدعاء لـ `child process.execSync`. وهذا يسمح للمهاجم بحقن أوامر نظامية تعسفية، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد بامتيازات عملية الخادم. توجد هذه الثغرة لأن الخادم يقوم بإنشاء وتنفيذ أوامر شل باستخدام مدخلات المستخدم غير المُثبتة صحةً مباشرةً داخل سلاسل أوامر سطر الأوامر، مما يفتح الباب أمام إمكانية حقن أحرف شل الخاصة. يمكن استغلال الثغرة الأمنية من خلال الحقن غير المباشر لموجه الأوامر عبر سجلات البودات أو عن طريق إنشاء مدخلات ضارة مباشرةً لأداة `kubectl scale`.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات git-mcp-server الأقدم من 2.1.5 الوصف: توجد ثغرة أمنية تتعلق بحقن الأوامر في خادم MCP git-mcp-server. تنجم هذه الثغرة عن الاستخدام غير المُعقّم لمعلمات الإدخال في استدعاء وظيفة child process.exec، مما يسمح للمهاجم بحقن أوامر تعسفية في النظام. قد يؤدي الاستغلال الناجح لهذه الثغرة إلى تنفيذ التعليمات البرمجية عن بُعد بامتيازات عملية الخادم. يقوم الخادم بإنشاء وتنفيذ أوامر شل باستخدام مدخلات المستخدم غير المصادق عليها مباشرةً داخل سلاسل أوامر سطر الأوامر، مما يفتح الباب أمام إمكانية حقن أحرف شل الخاصة (|، >، &&، إلخ). يمكن توجيه عميل MCP لتنفيذ إجراءات إضافية، على سبيل المثال، عبر الحقن غير المباشر لموجه الأوامر، عند مطالبته بقراءة سجلات git. التوصيات: لحل المشكلة، قم بالتحديث إلى الإصدار 2.1.5 أو أحدث. كحل مؤقت، ضع في اعتبارك تجنب استخدام child process.exec مع المدخلات غير الموثوقة، واستخدم بدلاً من ذلك واجهة برمجة تطبيقات (API) أكثر أمانًا، مثل child process.execFile، التي تسمح بتمرير الوسيطات كمصفوفة منفصلة، مما يتجنب تفسير الشل تمامًا. قم بتقييد الوصول إلى الأدوات المعرضة للثغرات (على سبيل المثال، git add و git init و git logs) لتقليل مخاطر الاستغلال. تجنب استخدام المعلمتين `path` و `initialBranch` في نقاط نهاية واجهة برمجة التطبيقات (API) المتأثرة حتى يتم حل المشكلة.

A logged-in user with any role can delete arbitrary files on the filesystem by calling the `/sync/clean sync dir` endpoint. The `dir name` POST parameter is not validated/sanitized and is used to construct the `syncDir` that is deleted by calling `fs.rm`. This issue allows for arbitrary file deletion.

The issue is related to insufficient validation of HTTP header field values before sending them to the network, allowing attackers to inject new HTTP header fields or entirely new requests into the data stream. This can cause requests to be understood differently by the remote server than intended, potentially resulting in logical errors and other misbehaviors. Users are vulnerable if they pass untrusted data into HTTP header field values without prior sanitization, such as placing usernames from a database into HTTP header fields.