Derekhaber

**اسم البرنامج المصاب والإصدارات المتأثرة** Frappe ERPNext الإصدارات السابقة لـ 15.121.1 Frappe ERPNext إصدارات 16.x السابقة لـ 16.34.2 **Description** تفتقر بعض نقاط النهاية إلى فرض ضوابط تفويض مناسبة. يتيح ذلك للمهاجمين المصرح لهم إرسال طلبات إلى هذه النقاط لتعديل المستندات والبيانات بما يتجاوز الصلاحيات الممنوحة لأدوارهم المحددة. **Recommendations** التحديث إلى الإصدار 15.121.1 أو أحدث. التحديث إلى الإصدار 16.34.2 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Allure 2 الأقدم من 2.34.1 الوصف: توجد ثغرة أمنية حرجة تتعلق بـ «الكيان الخارجي XML» (XXE) في المكون الإضافي xunit-xml-plugin الذي يستخدمه Allure 2. لا يقوم المكون الإضافي بتكوين محلل XML (`DocumentBuilderFactory`) بشكل آمن، ويسمح بتوسيع الكيانات الخارجية عند معالجة ملفات .xml الخاصة بنتائج الاختبارات. وهذا يتيح للمهاجمين قراءة ملفات عشوائية من نظام الملفات، وقد يؤدي إلى حدوث تزوير لطلبات الخادم (SSRF). التوصيات: بالنسبة للإصدارات الأقدم من 2.34.1، قم بالتحديث إلى الإصدار 2.34.1 لحل المشكلة. كحل بديل مؤقت، ضع في اعتبارك تقييد الوصول إلى المكون الإضافي xunit-xml-plugin لتقليل مخاطر الاستغلال. تجنب استخدام `DocumentBuilderFactory` بالإعدادات الافتراضية في المكون الإضافي المتأثر حتى يتم حل المشكلة.