Edorian

TwigView plugin for CakePHP provides wrappers for common View operations and extensions that expose CakePHP functions and jasny/twig-extensions helpers. Prior to versions 1.3.3 and 2.1.2, if FileLoader::findTemplate() is supplied un-validated user controlled data, arbitrary files can be read. This issue has been patched in versions 1.3.3 and 2.1.2.

TwigView plugin for CakePHP provides wrappers for common View operations and extensions that expose CakePHP functions and jasny/twig-extensions helpers. Prior to versions 1.3.3 and 2.1.2, the unserialize filter has no restriction on which classes are allowed. This can used as a deserialization remote-code-execution gadget. This issue has been patched in versions 1.3.3 and 2.1.2.

The MailPreview feature in `src/Controller/MailPreviewController.php` fails to properly validate the `previewName` value in the `findPreview()` function. The application passes the resolved class from `App::className()` to constructor execution without rejecting namespace separators or verifying that the class extends `DebugKitMailerMailPreview`. An attacker with access to DebugKit, provided debug mode is enabled and the request hostname is local or allowlisted, can select an unintended application class via the mail-preview preview route. This leads to arbitrary constructor execution and limited disclosure of application information.

يؤدي عدم إجراء عملية الهروب الكافية لأسماء دوال JMESPath التي تم تحليلها في مصدر PHP الذي تم إنشاؤه إلى السماح بإنشاء وتنفيذ كود PHP يتحكم فيه المهاجم. يحدث هذا عند استخدام `JmesPathCompilerRuntime` مع تعبير JMESPath مصمم خصيصًا، مما يتسبب في احتواء ملف ذاكرة التخزين المؤقت الذي تم إنشاؤه على كود قابل للتنفيذ يتم تحميله لاحقًا بواسطة وقت تشغيل المُجمِّع.

يحدث خطأ في التحقق من صحة رأس المضيف (Host header) عند تحليل رسائل طلبات HTTP الأولية أو استخلاص عنوان URI لطلب الخادم من متغيرات الخادم. يمكن للمهاجم تقديم رأس مضيف مشوه يحتوي على فواصل سلطة URI، مثل `trusted.example@evil.example`. وعند استخدام هذه القيمة لإنشاء عنوان URI، يمكن إعادة تفسيرها على أنها معلومات المستخدم (userinfo) وعنوان المضيف (host) في عنوان URI، مما يؤدي إلى اختلاف عنوان المضيف في طلب URI الناتج عن رأس المضيف الأصلي. يؤثر هذا على التطبيقات التي تستخدم الدالة `GuzzleHttpPsr7Message::parseRequest()`، أو الدالة القديمة `GuzzleHttpPsr7parse request()`، أو تلك التي تبني طلبات الخادم من متغيرات الخادم التي يتحكم فيها المهاجم والتي تعتمد على مضيف عنوان URI للتوجيه أو فحوصات قائمة السماح أو إعادة التوجيه. في سيناريوهات البوابة أو إعادة التوجيه، قد يؤدي هذا إلى إرسال الطلبات أو بيانات الاعتماد إلى مضيف غير مقصود.

تفشل المكتبة في رفض أحرف التحكم ASCII أو المسافات البيضاء أو الحرف DEL في مكونات مضيف URI الخاصة بالطرف الأول. عندما يستخدم تطبيق ما عنوان URL يتحكم فيه المستخدم لإنشاء `Uri` أو `Request` وفقًا لمعيار PSR-7 دون وجود رأس `Host` صريح، يتم نسخ مكون المضيف الذي يحتوي على CRLF أو أحرف أخرى غير آمنة للرؤوس إلى رأس `Host`. إذا لم يرفض عميل HTTP المضيف غير الصحيح بشكل مستقل، يمكن للمهاجم إدخال أسطر رؤوس إضافية يتحكم فيها المهاجم. قد يؤدي ذلك إلى تهريب الطلبات أو تسميم ذاكرة التخزين المؤقت في البيئات التي تستخدم إعادة استخدام اتصال HTTP/1.1 أو الوكلاء أو البوابات أو موزعات الحمل. تؤثر هذه المشكلة على التطبيقات التي تقوم بتنفيذ طلبات HTTP الصادرة أو إعادة توجيه عناوين URL أو الوكالة أو الزحف أو توصيل webhook.