Ethankim88

توجد مشكلة رفض الخدمة (DoS) في الدالة `request.form()` عند معالجة طلبات `application/x-www-form-urlencoded`. في حين يتم فرض حدود `max fields` و`max part size` على `multipart/form-data`، يتم تجاهلها بالنسبة للنصوص الأساسية المشفرة عبر عنوان URL. وهذا يسمح لمهاجم غير مصدق الهوية باستنفاد الموارد من خلال طريقتين: إرسال عدد كبير من الحقول (على سبيل المثال، 1,000,000 حقل)، مما يؤدي إلى حظر حلقة أحداث العامل واستهلاك وحدة المعالجة المركزية (CPU)، أو إرسال حقل واحد كبير جدًا، مما يؤدي إلى تخصيص ذاكرة غير محدودة.

قد تؤدي معالجة ملف PSD ضار إلى تلف الذاكرة، مما قد يؤدي بدوره إلى تعطل البرنامج أو تنفيذ تعليمات برمجية عشوائية. ويحدث ذلك لأن عمليات التحقق من حدود أبعاد المربعات (tiles) في عمليات فك تشفير وتشفير صور PSD تستخدم أنواعًا معرضة لظاهرة تجاوز سعة الأعداد الصحيحة. قد تتسبب صورة PSD ذات أبعاد مربعات مصممة خصيصًا في تكرار القيم، مما يؤدي إلى تجاوز عمليات الفحص وإحداث عملية كتابة خارج الحدود في ملفَي `src/decode.c` و`src/encode.c`.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Drizzle السابقة للإصدار 0.45.2 و1.0.0-beta.20 الوصف لا يقوم Drizzle ORM بتحويل معرفات SQL الموضوعة بين علامتي اقتباس بشكل صحيح في تطبيقات `escapeName()`. وقد يتيح ذلك للمهاجم إنهاء المعرف الموضوع بين علامتي اقتباس وحقن SQL عندما تقوم التطبيقات بتمرير مدخلات يسيطر عليها المهاجم إلى واجهات برمجة التطبيقات (APIs) التي تنشئ معرفات SQL أو أسماء مستعارة، مثل `sql.identifier()` و`.as()`. التوصيات التحديث إلى الإصدار 0.45.2 أو 1.0.0-beta.20.

يحتوي Kysely، وهو أداة إنشاء استعلامات SQL مكتوبة بلغة TypeScript تتميز بالأمان النوعي، على ثغرة حقن SQL في عملية تجميع مسارات JSON الخاصة بلهجات MySQL وSQLite. تقوم الدالة `visitJSONPathLeg()` بإلحاق القيم التي يتحكم فيها المستخدم من `.key()` و`.at()` مباشرةً إلى سلاسل مسارات JSON المكتوبة بين علامتي اقتباس مفردة دون إخراجهما من العلامات. وهذا يسمح للمهاجم بالخروج من سياق سلسلة مسار JSON وحقن تعليمات SQL تعسفية. ويختلف هذا السلوك عن الدالة `sanitizeIdentifier()`، التي تتعامل بشكل صحيح مع الفواصل الخاصة بالمعرفات. تنشأ المشكلة لأن كلًا من المعرفات ومفاتيح مسار JSON هي بنى SQL غير قابلة للتعيين كمعلمات وتتطلب الهروب اليدوي، ولكن المعرفات فقط هي المحمية. لا يتأثر PostgreSQL لأنه يستخدم نهجًا مختلفًا لبناء مسار JSON يتضمن تطهيرًا صحيحًا لسلسلة النص الثابتة. يثبت نموذج إثبات المفهوم القدرة على استخراج البيانات، مثل كلمة مرور المسؤول، من قاعدة بيانات SQLite باستخدام اسم مفتاح JSON مصمم خصيصًا. يمكن استغلال هذه المشكلة في التطبيقات التي تختار حقول JSON ديناميكيًا، مثل واجهات برمجة التطبيقات (API) الخاصة بالبحث أو لوحات التحكم الإدارية.

يحتوي Sequelize، وهو أداة ORM لـ Node.js، على ثغرة حقن SQL بسبب المعالجة غير المُهربة لأنواع التحويل عند معالجة جملة WHERE باستخدام JSON/JSONB. تقوم الدالة ` traverseJSON()` بتقسيم مفاتيح مسار JSON باستخدام ’::‘ لتحديد نوع التحويل، والذي يتم بعد ذلك تضمينه مباشرةً في استعلامات SQL باستخدام `CAST(... AS <type>)`. يمكن للمهاجم الذي يتحكم في مفاتيح كائن JSON حقن كود SQL تعسفي، مما قد يؤدي إلى تسريب البيانات من أي جدول. المكون المعرض للخطر هو الدالة ` traverseJSON()`.

توجد ثغرة في Multer، وهو برنامج وسيط (middleware) يعمل على Node.js ويُستخدم لمعالجة `multipart/form-data`. يمكن استغلال هذا الخلل لشن هجوم «رفض الخدمة» (DoS) عن طريق إرسال طلبات مصممة خصيصًا لهذا الغرض، مما قد يؤدي إلى استنفاد الموارد.

يتم إنشاء تعبير عادي معيب عند وجود ثلاثة معلمات أو أكثر داخل مقطع واحد، مفصولة بأحرف غير النقطة (`.`). على سبيل المثال، `/:a-:b-:c` أو `/:a-:b-:c-:d`. لا تعالج حماية التراجع (backtrack) التي تم تقديمها في `path-to-regexp@0.1.12` الغموض إلا في حالة وجود معلمتين فقط. أما في حالة وجود ثلاث معلمات أو أكثر، فإن التعبير النمطي التطلعي الذي يتم إنشاؤه لا يمنع أحرف الفصل الفردية من التسبب في تداخل مجموعات الالتقاط، مما يؤدي إلى تراجع كارثي. لا تتأثر أنماط التعبيرات العادية المخصصة المُعرَّفة في تعريفات المسارات، مثل `/:a-:b([^-/]+)-:c([^-/]+)`، لأنها تتجاوز مجموعة الالتقاط الافتراضية.