Dizconnectz

عند تفعيل إعداد `limit user customer visibility` ، يقوم إجراء AJAX `load customer info` بإجراء بحث شامل باستخدام البريد الإلكتروني للعميل الذي يتحكم فيه المهاجم، ويتحقق فقط مما إذا كان الوكيل يمكنه الوصول إلى صندوق بريد تم توفيره بشكل منفصل. يتيح ذلك لوكيل غير مسؤول استرداد الملف الشخصي المعروض لعميل غير ذي صلة عن طريق تسمية صندوق بريد يمكنه الوصول إليه دون استدعاء `CustomerPolicy::view()`. يمكن أن تكشف الاستجابة عن الأسماء وعناوين البريد الإلكتروني وأرقام الهواتف ومعلومات الشركة والوظيفة والعناوين البريدية والملفات الشخصية الاجتماعية والمواقع الإلكترونية وملاحظات الوكيل الداخلية السرية.

يقوم نقطة نهاية تسجيل الدخول 'POST /api/token' بقراءة حقل `email` من جسم الطلب دون التحقق من نوعه وتمريره مباشرة إلى استعلام تخزين MongoDB. عندما لا يكون حقل `email` سلسلة نصية، مثل كونه كائن JSON، تقوم الدالة `parseWhere()` في محول تخزين MongoDB بإسقاط الحقل بصمت، مما يؤدي إلى إنشاء عامل تصفية فارغ يطابق جميع المستخدمين. بعد ذلك، يتحقق النظام من كلمة المرور المقدمة مقابل أول مستخدم يتم إرجاعه، وهو عادةً مدير الموقع. يؤدي هذا إلى تجاوز جزئي للمصادقة حيث يتم إزالة عامل تحديد البريد الإلكتروني لحساب المسؤول، مما يسمح بتعداد المستخدمين وتضخيم هجمات حشو الاعتمادات (credential-stuffing)، حيث يمكن للمهاجم اختبار كلمات مرور مسربة أو ضعيفة ضد حساب المسؤول دون معرفة بريده الإلكتروني.

يقوم نقطة النهاية المجهولة `POST /forms/{formId}/submissions` بتخزين `JsonData` يتحكم فيه المهاجم بعد التحقق فقط من أن تنسيق JSON سليم. يمكن أن يحتوي كائن ملف يتضمن حقول `name` و `type` و `content` على رابط URL من نوع HTTP أو HTTPS. عندما يقوم موظف لديه صلاحية `submissions.view` باستدعاء نقطة النهاية `POST /forms/{formId}/submissions/{submissionId}/files` ، يقوم `GetFilesHandler` بتمرير البيانات المخزنة إلى دالة `SubmissionFileExtractor` ، والتي تستخدم `HttpClient.GetAsync` دون التحقق من رابط URL الوجهة أو المضيف أو عناوين IP التي تم تحليلها مقابل نطاقات العناوين الداخلية. يسمح هذا بإرسال طلبات GET من جانب الخادم، مخزنة ومن الدرجة الثانية، إلى الخدمات الداخلية، وبيانات cloud metadata، وعناوين loopback و link-local. لكي يحدث ذلك، يجب أن يكون النموذج مضبوطًا على `IsPublic` و `IsEnabled` ، ويجب أن تجتاز عمليات الإرسال المجهولة اختبار reCAPTCHA v3 إذا كان مهيأً. يتم وضع الاستجابة المسترجعة في ملف ZIP الخاص بعارض الموظفين ولا يتم إرجاعها مباشرة إلى المهاجم، مما يجعل الكشف أعمى أو غير مباشر.

يمكن للمستأجرين المصرح لهم استغلال ثغرة تزوير الطلبات من جانب الخادم (SSRF) العمياء عن طريق تكوين عنوان URL لقناة تنبيه ويب هوك (webhook) غير مُتحقق منها. يفشل خادم تطبيق الويب في التحقق من المتغير `url` مقابل قائمة سماح للمضيفين أو قائمة حظر لعناوين IP الخاصة، مما يسمح للخادم بإرسال طلبات POST إلى مضيفين داخليين، أو عناوين بيانات وصفية سحابية، أو الوصول إلى IMDSv1 عبر عمليات إعادة التوجيه. يحدث هذا عندما يستخدم `alertsWorker` خدمة `DeliverAlertService` لإرسال حمولات تنبيه موقعة بـ HMAC عبر دالة `fetch()`. تكمن المشكلة في ملف `ApiAlertChannelPresenter.server.ts` حيث يتم قبول عنوان URL دون التحقق من الصيغة أو المضيف، ويتم معالجته لاحقاً في `deliverAlert.server.ts` و `deliverErrorGroupAlert.server.ts`.

An issue exists where webhook destinations are validated only during registration and not during use. The `NoInternalUrlRule` function in `backend/app/Validators/Rules/NoInternalUrlRule.php` uses `gethostbyname()` to reject private and reserved IP ranges, but public hostnames are permitted. During dispatch, the `WebhookDispatchService` utilizes the stored URL via `spatie/laravel-webhook-server` without re-validating the destination. Because `backend/config/webhook-server.php` does not configure Guzzle options, redirect following is enabled by default. This allows a destination to redirect the server to a loopback, private, or cloud metadata address, or allows an attacker to change a DNS record after registration to achieve the same result. The `WebhookResponseHandlerService` stores the response body in the webhook log, which is then exposed via the `WebhookLogResource` endpoint, allowing the requester to read responses from internal services. This affects both event and organizer webhooks.

توجد مشكلة حقن SQL في موصل مصدر البيانات Oracle أثناء عملية البحث عن الصفوف بعد الكتابة. يفشل النظام في معالجة أسماء الجداول المستخدمة في المعرفات بشكل صحيح. يمكن للمهاجم الذي يمتلك أذونات الكتابة على جدول يحتوي اسمه على علامة اقتباس مزدوجة حقن أوامر SQL. يتم تنفيذ هذه الأوامر بامتيازات مستخدم قاعدة بيانات مصدر البيانات، مما يسمح للمهاجم بقراءة أو تعديل البيانات بشكل تعسفي.

تفشل شاشة الإعداد السريع، التي تُستخدم بعد الإنشاء الأولي لحدث ما، في التحقق بشكل صحيح مما إذا كان المستخدم يمتلك الأذونات اللازمة لتعديل إعدادات حدث معين. تسمح هذه الثغرة في التفويض للمهاجم بإرسال طلب في الوقت المناسب لتنفيذ إجراءات غير مصرح بها على الأحداث التي لا يملك حق الوصول إليها، مثل إنشاء المنتجات والحصص، أو تكوين التحويلات المصرفية، أو ربط حساب Stripe.