Dungnhvhust

The software fails to fully enforce the `allowAsync: false` option within VM and NodeVM. Although `localPromise.prototype.then` is replaced to prevent asynchronous operations, the sandbox's Promise static methods—specifically `Promise.resolve`, `Promise.all`, `Promise.race`, `Promise.any`, and `Promise.allSettled`—still accept attacker-supplied thenables. This occurs because native promise resolution executes a `PromiseResolveThenableJob` and invokes the `then` method of the sandboxed code in a microtask, bypassing the patched handler. Consequently, a sandboxed script can schedule tasks that execute after `VM.run()` or `NodeVM.run()` has returned and beyond the configured timeout, allowing execution to continue after the host assumes it has finished.

يؤدي عدم كفاية التحقق من صحة معلمة التكوين `allow shell` داخل ملفات تكوين المشروع إلى السماح بتنفيذ أوامر شل تعسفية. يمكن للمهاجم تحقيق ذلك عن طريق إرسال ملف `.codewhale/config.toml` ضار إلى مستودع. وعندما يقوم المستخدم بنسخ المستودع المتأثر وفتحه، يُمنح نموذج الذكاء الاصطناعي حق الوصول إلى أداتي `exec shell` و`task shell`، مما يتيح تنفيذ أوامر شل تعسفية على جهاز الضحية دون موافقة صريحة.

يؤدي عدم كفاية التحقق من صحة مسارات الملفات في حقل تعليمات تكوين المشروع إلى السماح بقراءة ملفات عشوائية على النظام. يمكن للمهاجم استخدام ملف `.codewhale/config.toml` ضار داخل مستودع مستنسخ لتحديد مسارات خارج مساحة العمل. ثم تتم قراءة هذه الملفات وإدخالها في موجه نظام الذكاء الاصطناعي، مما يمكن استخدامه لتسريب البيانات.

تفشل البرمجيات الوسيطة `helmet` في إطار عمل الويب Fiber في تعيين رأس استجابة `Strict-Transport-Security` (HSTS)، حتى عند تكوين `HSTSMaxAge`. يحدث هذا لأن المنطق الموجود في `middleware/helmet/helmet.go` يستخدم الدالة `c.Protocol()` بشكل غير صحيح للتحقق من اتصالات HTTPS. تُرجع الدالة `c.Protocol()` إصدار بروتوكول HTTP (مثل `HTTP/1.1` أو `HTTP/2.0`) بدلاً من مخطط عنوان URL. ونتيجة لذلك، فإن الشرط `c.Protocol() == ”https“` يُقيَّم دائمًا بقيمة ”false“، مما يجعل حماية HSTS غير نشطة. وقد يعرض هذا المستخدمين لخطر هجمات تجريد SSL، وتخفيض مستوى البروتوكول، وسرقة ملفات تعريف الارتباط عبر HTTP.

تسمح معالجات postMessage عبر الأصول (cross-origin) بـ XSS المخزّن والاستيلاء على الجلسة. يسجل البرنامج مستمعي رسائل النافذة — وتحديدًا معالج التراكب useTina، ومعالج النافذة المنبثقة لمصادقة OAuth، ومُخفِّض GraphQL لإطار iframe admin↔preview — التي تعالج `event.data` دون التحقق من `event.origin` أو `event.source`. بالإضافة إلى ذلك، يقوم البرنامج بنشر الرسائل باستخدام أصول مستهدفة غير محددة. يمكن لصفحة خبيثة يزورها الضحية، أو نافذة في علاقة فتح/إطار فرعي مع «Tina admin»، تزوير الرسائل للتحكم في المحرر، أو إدخال محتوى المعاينة، أو التلاعب بقناة النافذة المنبثقة لـ OAuth لاختطاف جلسة تحرير تمت المصادقة عليها.

Nodemailer fails to enforce the `disableFileAccess` and `disableUrlAccess` security options during message normalization when using `jsonTransport`. This occurs because the `shared.resolveContent()` function, which is called during serialization, does not check these access control flags. Consequently, an attacker who can control message content fields can bypass intended restrictions to read local files or trigger outbound HTTP(S) requests. This issue is also reachable when `attachDataUrls` is enabled, as it triggers a similar pre-resolution path via the ` convertDataImages()` function. Technical details include: - **API Endpoints:** The issue is triggered when `createTransport()` is configured with `jsonTransport: true`. - **Vulnerable Parameters or Variables:** Attackers can exploit this by supplying `path` or `href` values within message content fields, such as attachments or the `text` field. - **Function Names:** The vulnerability exists within the `shared.resolveContent()` function and is triggered during the `mail.normalize()` process.

Nodemailer fails to sanitize carriage return (CR) and line feed (LF) characters in list comment fields. An attacker who can influence the `list.*.comment` parameters can inject CRLF sequences to create additional headers in generated RFC822 messages. This occurs because the `list.*.comment` field is inserted into prepared header values that bypass the normal header-value sanitizer and are passed to the `mimeFuncs.foldLines()` function. This can alter mail client behavior and message semantics by adding attacker-controlled metadata headers. The affected parameters include `list.help.comment`, `list.unsubscribe.comment`, `list.subscribe.comment`, `list.post.comment`, `list.owner.comment`, `list.archive.comment`, and `list.id.comment`.

تقوم الدالة `secure popen()` الموجودة في ملف `glances/secure.py` بتفسير العوامل الشبيهة بعوامل شل بشكل غير صحيح، وتحديدًا `>` (إعادة توجيه الملف)، و`|` (الأنبوب)، و`&&` (تسلسل الأوامر)، داخل سلاسل الأوامر. عندما تقوم وحدات عملية مراقبة التطبيقات (AMP) بتحميل قيم التكوين `command` أو `service cmd` من ملف `glances.conf`، يتم تمرير هذه القيم إلى الدالة `secure popen()` دون تعقيم. وهذا يسمح للمهاجم القادر على تعديل ملف التكوين بكتابة محتوى تعسفي إلى أي مسار في نظام الملفات، أو تسلسل أوامر تعسفية، أو توجيه المخرجات عبر الأنابيب إلى برامج أخرى. تشمل التفاصيل الفنية ما يلي: - **الوظيفة المعرضة للخطر**: تقوم `secure popen()` بتحليل عامل التشغيل `>` للكتابة إلى الملفات عبر `open(stdout redirect, ”w“)` دون التحقق من صحة المسار، وتستخدم `|` و`&&` لتنفيذ العمليات المتسلسلة أو الموصولة عبر الأنابيب. - **المعلمات المعرضة للخطر**: قيم التكوين `command` و`service cmd` التي يتم تحميلها من أقسام `[amp <name>]` و`[amp systemv]`. لا يعمل العلامة `--disable-config-exec` على التخفيف من هذه المشكلة، حيث إنها تمنع فقط تنفيذ علامة العودة المائلة في `config.get value()` ولا تؤثر على كيفية معالجة `secure popen()` للسلاسل الناتجة.