Ethansilvas

يمكن لمهاجم غير مصدق هويته التسبب في هجوم «رفض الخدمة» (DoS) عن طريق إرسال طلب إلى نقطة النهاية ’/api/v1/files/upload/‘ دون استخدام رموز المصادقة أو ملفات تعريف الارتباط. من خلال استغلال حدود نموذج متعدد الأجزاء طويلة جدًا، مثل تضمين عدد كبير جدًا من الواصلات، يحاول التطبيق معالجة البيانات المشوهة قبل إجراء عمليات التحقق من المصادقة أو ملكية التدفق. قد تؤدي هذه العملية إلى تعطيل التطبيق عن جميع المستخدمين لفترة غير محددة. لا يتطلب الهجوم معرّف UUID صالحًا للتدفق، حيث يحاول الخادم معالجة الحدود بغض النظر عن القيمة المقدمة.

يُتيح موجه `/api/v1/monitor` سبع نقاط نهاية تسمح بعمليات القراءة والكتابة والحذف على الموارد المملوكة للمستخدم، بما في ذلك الرسائل والجلسات ومخرجات البناء وسجلات معاملات نماذج اللغة الكبيرة (LLM). يفشل النظام في التحقق مما إذا كان الطالب المصادق عليه يمتلك المورد المستهدف، مما يؤدي إلى ثغرة «الإشارة المباشرة غير الآمنة إلى الكائن» (IDOR)، والمعروفة أيضًا باسم «التفويض المكسور على مستوى الكائن» (BOLA). يمكن للمستخدم المصادق عليه قراءة بيانات مستخدم آخر أو تعديلها أو إعادة تسميتها أو حذفها نهائيًا من خلال تقديم معرّف المورد المستهدف أو `flow id`. تشمل التفاصيل الفنية نقاط النهاية المعرضة للخطر التالية: - ’GET /api/v1/monitor/builds‘ و ’DELETE /api/v1/monitor/builds‘ باستخدام المتغير `flow id`. - ’DELETE /api/v1/monitor/messages‘ باستخدام المتغير `message ids`. - ’PUT /api/v1/monitor/messages/{message id}‘ باستخدام المتغير `message id`. - ’PATCH /api/v1/monitor/messages/session/{old session id}‘ باستخدام المتغير `old session id`. - ’DELETE /api/v1/monitor/messages/session/{session id}‘ باستخدام المتغير `session id`. - ’GET /api/v1/monitor/transactions‘ باستخدام المتغير `flow id`.