Djvirus9

تقوم وظيفة التصدير إلى ملف CSV بكتابة بيانات الموقع، بما في ذلك سمات الجهاز التي يتحكم فيها المستخدم والسمات المحسوبة، إلى ملف CSV الناتج دون استخدام أحرف الهروب المناسبة. وهذا يسمح للمهاجم بحقن صيغ جداول البيانات من خلال الحقول المصدرة. إذا قام مدير أو مسؤول بفتح ملف CSV الناتج في برنامج جداول البيانات، فقد يؤدي ذلك إلى تشغيل الصيغة، مما قد يؤدي بدوره إلى تنفيذ الأوامر أو تسريب البيانات.

تقوم قوالب إشعارات البريد الإلكتروني بإدراج أسماء الأجهزة التي يتحكم فيها المستخدم، والمناطق الجغرافية المحددة، وأسماء السائقين في نص البريد الإلكتروني بتنسيق HTML دون إجراء عملية الترميز المناسبة. يمكن لمهاجم ذي امتيازات منخفضة تخزين كود HTML مُعدّ خصيصًا في هذه الحقول، والذي يتم عرضه لاحقًا في رسائل البريد الإلكتروني الإشعارية المرسلة إلى المستخدمين الآخرين الذين لديهم حق الوصول إلى الأجهزة المتأثرة. وقد يؤدي ذلك إلى عمليات تصيد أو محتوى بريد إلكتروني مزيف.

تقوم وظيفة تصدير ملفات KML و GPX بكتابة أسماء الأجهزة في ملفات XML الناتجة دون استخدام أحرف الهروب المناسبة. يمكن لمهاجم ذي امتيازات محدودة إنشاء جهاز باسم مُعدّل خصيصًا لحقن محتوى XML في الملفات المصدرة. وعندما يقوم مستخدم آخر بتصدير الملف المتأثر وفتحه، قد يؤدي ذلك إلى تلف بنية الملف وتزوير بيانات الموقع المصدرة.

يحتوي MobSF، وهو أداة لاختبار أمان تطبيقات الأجهزة المحمولة، على ثغرة في دالة `read sqlite()` الموجودة في ملف `mobsf/MobSF/utils.py` (الأسطر 542-566). تستخدم هذه الدالة تنسيق سلاسل Python (`%`) لإنشاء استعلامات SQL باستخدام أسماء الجداول التي يتم الحصول عليها من جدول `sqlite master` في قاعدة بيانات SQLite. عند تحليل تطبيق جوال ضار باستخدام قاعدة بيانات SQLite مُعدة خصيصًا، يتم إدراج أسماء الجداول التي يتحكم فيها المهاجم مباشرةً في استعلامات SQL دون تحديد المعلمات أو التهرب بشكل صحيح. وقد يؤدي ذلك إلى رفض الخدمة، حيث يمكن لاسم جدول ضار أن يتسبب في تعطل عارض قاعدة البيانات، مما يمنع تحليل محتوى قاعدة البيانات. كما أنه يسمح بحقن SQL عبر `UNION SELECT`، مما قد يمكّن المهاجم من استرداد البيانات التي يتحكم فيها. يتم تشغيل الكود المعرض للثغرة عندما يقوم المحلل بعرض ملف `.db` أثناء التحليل الديناميكي أو الثابت. تعتبر عبارة `PRAGMA table info()` في السطر 553 واستعلام `SELECT * FROM` في السطر 557 نقاط الحقن.

يتأثر نظام التتبع عبر GPS Traccar بمشكلة تتيح للمستخدمين المصادق عليهم الذين يتمتعون بامتيازات إنشاء أو تعديل الأجهزة التلاعب بالمعلمة `uniqueId` لتحديد مسار ملف مطلق. وهذا يسمح بتخزين الملفات خارج دليل الوسائط المخصص، حيث إن النظام لا يتحقق بشكل صحيح مما إذا كان المسار الذي تم تحديده يقع ضمن جذر دليل الوسائط المخصص أثناء تحميل الصور من الأجهزة.

يتأثر نظام التتبع عبر GPS مفتوح المصدر Traccar بمشكلة تتيح للمستخدمين المصادق عليهم الحصول على رموز ترخيص OAuth 2.0 من خلال ثغرة إعادة التوجيه المفتوحة في نقطتي نهاية مرتبطتين بـ OpenID Connect (OIDC). لا يتم التحقق من صحة المعلمة `redirect uri` بشكل صحيح مقابل قائمة بيضاء، مما يسمح للمهاجمين بإعادة توجيه رموز التفويض إلى عناوين URL تحت سيطرتهم. وقد يؤدي ذلك إلى الاستيلاء على الحساب في أي تطبيق متكامل مع OAuth.

Traccar، وهو نظام تتبع GPS مفتوح المصدر، معرض لثغرة أمنية من نوع البرمجة النصية عبر المواقع المخزنة (XSS). يمكن للمستخدمين المسجلين إرسال ملفات SVG ضارة كصور للأجهزة. لا يقوم التطبيق بتنقية هذه الملفات ويقدمها بنوع المحتوى `image/svg+xml`، مما يسمح بتنفيذ جافا سكريبت المضمنة في سياق متصفحات المستخدمين الآخرين. تسمح هذه الثغرة بتنفيذ جافا سكريبت تعسفي. **نقطة نهاية واجهة برمجة التطبيقات (API)** الخاصة بتحميل الملفات متورطة في هذه المشكلة. المعلمة المعرضة للخطر هي ملف SVG نفسه، وتحديدًا جافا سكريبت المضمن في ملف SVG.