Eqstlab

تقوم الدالة `grep()` المصدرة بواسطة @augment-vir/node بإدراج أنماط بحث يتحكم فيها المستخدم مباشرة في سلسلة أمر shell محاطة بعلامات اقتباس مزدوجة دون تعقيم. عندما يتم تمرير هذا الأمر إلى الدالة `spawn()` مع تعيين shell على 'bash'، يقوم bash بتقييم تعبيرات استبدال الأوامر المضمنة في النمط، مما يؤدي إلى تنفيذ أوامر نظام تشغيل عشوائية بصلاحيات مستخدم عملية Node.js. أي تطبيق يمرر مدخلات غير موثوقة إلى حقل `pattern` أو `patterns` في الدالة `grep()` يكون عرضة لتنفيذ تعليمات برمجية محلياً (وربما عن بُعد) دون مصادقة.

يقبل نقطة النهاية POST '/ nuxt content/:collection/query' غير المصادق عليها حقل `sql` يتحكم فيه المهاجم في 'src/runtime/api/query.post.ts' ويسمح بتعبيرات SQLite مكلفة. بينما تستخدم بعض الإصدارات دالة `assertSafeQuery()` في 'src/runtime/internal/security.ts' لرفض كلمات مفتاحية معينة من SQL في جمل WHERE، إلا أنها لا تزال تسمح باستدعاءات الدوال مثل `randomblob()` و `zeroblob()` و `hex()` و `length()`. تصل هذه الاستعلامات إلى better-sqlite3 السنكرو ني في 'src/runtime/internal/database.server.ts'، مما يسمح لطلب عن بعد واحد باستهلاك قدر كبير من وحدة المعالجة المركزية والذاكرة، مما يؤدي إلى حظر حلقة أحداث Node.js ومعالجة جميع الطلبات المتزامنة. لا تتأثر عمليات النشر الاستاتيكية بالكامل التي لا تعرض نقطة نهاية الخادم.

عند تفعيل `KROKI SAFE MODE` فإن حماية TikZ backend تحظر فقط `verbatiminput` بينما تسمح ببدائيات قراءة ملفات TeX الأصلية بما في ذلك `openin` و `read` و `input` و `include`. وبسبب إعداد `openin any` المتساهل في TeX Live، يمكن لجهة غير مصرح لها إرسال LaTeX مصمم خصيصاً إلى نقطة النهاية 'POST /tikz/svg' أو واجهة برمجة تطبيقات الرسوم البيانية العامة، مما يتسبب في قيام برنامج الرندرة بقراءة أي ملف يمكن الوصول إليه بواسطة مستخدم حاوية Kroki. يتم تضمين محتويات الملف في ملف SVG الناتج، مما قد يؤدي إلى كشف الأسرار المثبتة، أو بيانات التكوين، أو بيانات الاعتماد، أو المفاتيح الخاصة، أو بيانات بيئة العملية. ولا يقوم خيار `-no-shell-escape` بتقييد عمليات الملفات الأصلية هذه.

تفشل الدالة `MCPToolsRegistry.read file()` في `codebase rag/mcp/tools.py` في تحليل والتحقق من احتواء المتغير `file path` بشكل صحيح عندما تؤدي المعلمات `offset` أو `limit` إلى اختيار الفرع المرقّم. يسمح هذا للمهاجم باستخدام مسارات مطلقة أو التنقل النسبي لتجاوز التحقق من `validate project path` والوصول إلى ملفات خارج جذر المشروع المحدد. يمكن لمستدعي غير مصرح له عبر خادم HTTP MCP معرض للشبكة أو مستدعي محلي عبر نقل stdio قراءة ملفات 임의 قابلة للقراءة بتنسيق UTF-8 متاحة لعملية الخادم، بما في ذلك المفاتيح الخاصة، وبيانات الاعتماد، وملفات التكوين.

تقبل الدالة `readPsd()` قيمة `totalMemoryLimit` لتحليل الملفات، ولكن الدالة `decodeLayerImageData` تتوقع خاصية تسمى `memoryLimit`. يتسبب هذا التضارب في تمرير حد غير محدد إلى `createImageDataBitDepth()`، مما يسمح للمهاجم باستخدام أبعاد طبقات يتم التحكم فيها لتحفيز تخصيصات ذاكرة تتجاوز الحد المكون، مما يؤدي إلى استنفاد ذاكرة العملية وتعطيل الخدمة. بالإضافة إلى ذلك، تقوم الدالة `inflateSync(compressed)` بفك ضغط بيانات القناة المشفرة بتنسيق ZIP دون وجود حد أقصى لحجم المخرجات، مما قد يؤدي أيضاً إلى تعطيل الخدمة من خلال فك الضغط غير المحدود.

يمكن لمهاجم شبكة غير مصرح له إنشاء أول حساب مسؤول قبل أن يكمل المالك الشرعي الإعداد الأولي. تتحقق الدالة `initial setup()` فقط من علم اكتمال `is setup` ولا تتطلب مصادقة أو رمز bootstrap أو قيود على الشبكة. يقوم نقطة النهاية 'POST /api/auth/setup' في `src/api/routers/auth.py` باستدعاء `create auth user()` باستخدام `UserRole.ADMIN` و `set auth cookie()`، مما يؤدي إلى إصدار ملف تعريف ارتباط JWT من نوع `fctr session` صالح. نظرًا لأن التطبيق يبدأ المستمع على 0.0.0.0 وينشر المنفذ 8001 على جميع الواجهات، يمكن لعملاء HTTP غير المتصفح تجاوز قواعد CORS المقتصرة على localhost. يمكن للمهاجم الذي يستغل هذه الثغرة أن يصبح المسؤول الوحيد، مما يمنع الإعداد الشرعي ويمنحه القدرة على قراءة بيانات المستخدمين المتزامنة مع Okta، ورموز API، وسجل الدردشة، وتكوين التطبيق، بالإضافة إلى تعديل المستخدمين وبيانات اعتماد تكامل Okta.

يمكن للمستخدمين المصرح لهم الذين يمتلكون ملف تعريف ارتباط `fctr session` صالح تنفيذ كود Python تعسفي دون الحاجة إلى صلاحيات مسؤول. من خلال إرسال طلب إلى نقطة النهاية 'POST /api/react/execute-script' باستخدام المعلمة `script code` ، يمكن للمهاجم تجاوز تصفية المحتوى القائمة على الذكاء الاصطناعي والتحقق الأمني. تفشل عملية التحقق في `validate generated code()` في التعامل بشكل صحيح مع أهداف `ast.Call` وتسمح بـ `getattr` عبر `ALLOWED BUILTINS` ، مما يسمح لسلاسل استدعاء ديناميكية من خلال ` builtins ` بالتهرب من الكشف. يتم كتابة الكود على القرص بواسطة ` write temp script()` ويتم تنفيذه كمستخدم root عبر `asyncio.create subprocess exec()`. يتم إرجاع نتائج التنفيذ من خلال نقطة النهاية 'GET /api/react/stream-react-updates?process id=<id>'. يمكن أن يؤدي ذلك إلى اختراق كامل للحاوية، والكشف عن رموز API الخاصة بـ Okta ومفاتيح JWT، وكشف قاعدة بيانات SQLite، والقيام بعمليات تحويل غير مصرح بها إلى خدمات الخلفية.

يقبل ServerRendererServer الخاص بحزمة server-renderer طلبات HTTP/2 غير مصرح بها ويقوم بحل قيم `:path` التي يتحكم فيها المهاجم مقابل `server.targetOrigin` في الدالة `onIncomingRequest()`. ونظراً لأن النظام لا يتأكد من أن الأصل الذي تم حله لا يزال موثوقاً قبل استدعاء fetch، يمكن لمسار نسبي للبروتوكول تغيير الوجهة إلى أي نقطة نهاية HTTP أو HTTPS عشوائية يمكن للخادم الوصول إليها، بما في ذلك الخدمات المحلية والداخلية. يقوم البروكسي بعد ذلك بتمرير رؤوس الاستجابة وجسمها التي تم جلبها إلى مقدم الطلب.

تقوم الدالة الافتراضية `JWTBearerGrant.get audiences()` بإرجاع قائمة فارغة، مما يجعل الدالة `JWTBearerGrant.verify claims()` تطلب فقط وجود مطالبة `aud` دون التحقق من مطابقتها لخادم التفويض الحالي. يتيح ذلك للمهاجم الذي يمتلك تأكيدًا مشروعًا لخدمة أخرى تقديمه إلى خادم يتشارك مفتاح التوقيع نفسه ويستخدم المنحة الافتراضية، مما يسمح بالحصول على رمز وصول عبر حدود الثقة.

The `buildWSLegacyExecutor()` function in the executor-legacy-ws module hardcodes the TLS certificate rejection to off for Node.js connections to wss:// endpoints. This allows applications using the executor directly, or the url-loader with `SubscriptionProtocol.LEGACY WS`, to accept certificates controlled by an attacker during a network interception. This can lead to the disclosure of authentication material within `connectionParams` or headers, and the modification of subscription data. Browser WebSocket clients are not affected as they enforce certificate validation.

The library fails to validate the `tokenUrl` field within remote OpenAPI specifications. This allows an attacker to redirect the submission of credentials to arbitrary endpoints. If a user registers an attacker-controlled OpenAPI specification and invokes a generated OAuth2-protected tool, the library sends the `client id` and `client secret` via a POST request to the attacker-supplied token endpoint.

The software fails to verify if tool URLs in a hand-written UTCP manual point to the agent's own loopback interface when the manual is retrieved from a remote, non-loopback origin. This occurs because the `ensure secure url` function permits loopback HTTP for local development, and native manuals bypassed the loopback check used by the OpenAPI converter. An attacker providing a malicious UTCP manual can trigger server-side request forgery (SSRF), causing the client to send requests to services bound to 127.0.0.1 on the victim host and return the response bodies to the attacker. This issue affects the http, sse, and streamable http protocols. Exploitation requires a loopback service that responds to unauthenticated requests.

An unauthenticated server-side file exfiltration issue exists when the server is deployed using HTTP transport (such as `streamable-http` or `sse`) and `READ ONLY MODE` is set to `false`. A remote attacker can bypass authentication by providing specific service headers, such as `X-Atlassian-Confluence-Url` and `X-Atlassian-Confluence-Personal-Token`, to redirect requests to an attacker-controlled hostname. By invoking the `confluence upload attachment` function or its Jira equivalent in `src/mcp atlassian/jira/attachments.py` with a server-local `file path` variable, the attacker can force the MCP process to read and send any file accessible by the server process to the external endpoint. This occurs because the upload functionality lacks path validation, failing to use the `validate safe path()` function to restrict directory access.

When running with `OBOT SERVER ENABLE AUTHENTICATION=true`, the software exposes OAuth dynamic client registration without authentication and without restrictions on redirect URIs. This allows an unauthenticated attacker to register a client pointing to an external domain. Because the authorization flow auto-completes for logged-in users without a consent screen, an attacker can induce a victim to visit a crafted authorization URL to receive an authorization code at the attacker-controlled redirect URI, which is then exchanged for an access token and refresh token. The token minted by the MCP OAuth flow includes the victim's full group set in the JWT (JSON Web Token), a format for securely transmitting information. Since the system validates the issuer but not the audience, the token is accepted as a bearer token against any Obot API endpoint the victim can access, rather than being scoped to the requested MCP server. This enables the attacker to read or modify the victim's resources until the token is revoked.

Missing authorization in the Local License API allows authenticated users with low privileges to read, overwrite, and delete premium module license keys. This is possible through the following API endpoints: - 'GET /api/admin/licenses/show' - 'POST /api/admin/licenses/store' - 'POST /api/admin/licenses/remove'

يتسبب خلل في التصميم في `src/module.ts` في قيام الوحدة بدمج جميع الخيارات دون شرط، بما في ذلك `api key` ، في تكوين وقت التشغيل العام `runtimeConfig.public.ollama`. نظرًا لأن Nuxt يقوم بتسلسل هذا التكوين العام في حمولة HTML التي يتم تقديمها من الخادم `window. NUXT ` ، يتم كشف مفتاح API بنص واضح لأي عميل غير مصرح له يجلب الصفحة. بالإضافة إلى ذلك، يقرأ الـ composable الخاص بمتصفح المستخدم `src/runtime/composables/useOllama.ts` هذا المفتاح العام ويرسله كاعتماد `Authorization` `Bearer` في طلبات Ollama من جانب المتصفح. يمكن للمهاجم سرقة هذا المفتاح من خلال طلب HTTP GET واحد، مما قد يؤدي إلى طلبات API سحابية غير مصرح بها على نفقة المشغل، أو استنفاد الحصص أو حدود المعدل، أو الوصول إلى النماذج أو المحادثات المخزنة.

تسمح أداة MCP المسماة `set functype version` في `functype-mcp-server` بتنفيذ رموز عن بُعد (RCE) لأنها تقبل سلسلة نصية `version` غير مقيدة وتدمجها في أمر `pnpm add`. يمكن للمهاجم استخدام صيغ أسماء الحزم المستعارة مثل `file:` أو `npm:` أو روابط URL أو المسارات لفرض تثبيت حزمة محلية أو عن بُعد عشوائية. بعد التثبيت، تقوم الدالة `initDocsData()` بتحليل واستيراد وحدة `functype/cli` ديناميكيًا، مما يؤدي إلى تنفيذ كود JavaScript يتحكم فيه المهاجم بصلاحيات عملية خادم MCP. يمكن استغلال ذلك بواسطة أي عميل MCP قادر على إرسال طلب `tools/call` أو عبر حقن المطالبات غير المباشر حيث يتم تحفيز مساعد ذكاء اصطناعي لاستدعاء الأداة من مستند أو صفحة ويب خبيثة. في عمليات النشر التي تستخدم `TRANSPORT TYPE=httpStream` يكون الخلل متاحًا للمهاجمين عبر الشبكة. يتيح الاستغلال الناجح للمهاجم قراءة أسرار العملية أو تعديل الملفات أو إيقاف الخادم.

توجد ثغرة تجاوز المسار (Path Traversal) غير مصرح بها في `@openhop/server` حيث يتم تمرير معاملات مسار غير مجهزة إلى دالة `FlowStore.filePath()` في `packages/server/src/store.ts`. يستخدم التطبيق `path.join()` لإنشاء مسارات نظام الملفات لملفات YAML الخاصة بالتدفق، مما يسمح للمهاجم باستخدام تسلسلات التجاوز للوصول إلى ملفات خارج دليل التدفق المكون. يؤثر هذا على نقاط النهاية التالية: - `GET /api/flows/:id` - `DELETE /api/flows/:id` يمكن للمهاجم استغلال ذلك لقراءة أي ملف `.yaml` يمكن للعملية الوصول إليه على شكل JSON محلل من YAML أو حذف أي ملف `.yaml` يمكن للعملية الوصول إليه بشكل دائم، مما قد يؤدي إلى كشف الأسرار أو تعطيل الخدمات. تزداد الخطورة لأن CORS مهيأ بـ `origin: true` مما يسمح لصفحات الويب الخبيثة باستهداف المثيلات المحلية، كما أن عمليات نشر Docker تعتمد افتراضيًا `HOST=0.0.0.0` مما يسمح بالوصول المباشر عبر الشبكة. المتغير المصاب هو `id`.

An unauthenticated network attacker can exploit a path traversal issue where proxied HTTP request paths are not validated for backslash-based dot-segments before being forwarded to the upstream server. The plain HTTP request handler bypasses the destination validation used by WebSocket paths, and the underlying `reply-from` library only rejects forward-slash traversal. This allows requests containing backslash dot-segments to escape the boundaries defined by the `prefix` and `rewritePrefix` options, enabling access to internal upstream paths and the disclosure of hidden endpoints.

Improper verification of cryptographic signatures allows an unauthenticated attacker to impersonate any user. The issue occurs when the software accepts a JSON Web Encryption (JWE) wrapping unsigned claims as fully validated, failing to require a nested signature as mandated by OpenID Connect Core 1.0 and JARM processing rules. This allows an attacker with the relying party's public encryption key to create tokens with arbitrary `sub`, `iss`, and `aud` values without the provider's signing key. The flaw exists in the `verify decrypted token/4` function within `oidcc jwt util`, where decrypted payloads that are not signed JWS are parsed as plaintext claims. Subsequently, the `int validate jwt/4` function in `oidcc token` returns success based on the JOSE structure type rather than signature verification. Additionally, the `validate jarm/3` function in `oidcc token` is reachable via the browser front channel. This is only exploitable if the OpenID Provider advertises ID token or authorization response encryption and the relying party has an encryption key configured.