Fakebug

توجد مشكلة في عملية إزالة التسلسل عن بُعد داخل مكون xxl-rpc Listener، وتحديدًا في الدالة `Hessian2Input.readObject()` الموجودة في الملف `/serialize/impl/HessianSerializer.java`. تحدث عملية إلغاء التسلسل عند معالجة بيانات غير موثوق بها، مما قد يسمح لمهاجم عن بُعد بتنفيذ إجراءات غير مصرح بها.

يوجد عيب في اجتياز المسار في نقطة النهاية `logDetailCat`. تكمن المشكلة في الدالة `FileInputStream()` الموجودة في الملف `/admin/controller/JobLogController.java`. يمكن لمهاجم عن بُعد استغلال هذه الثغرة عن طريق التلاعب بالمعلمة `executorAddress` للوصول إلى ملفات خارج الدليل المقصود.

توجد ثغرة تتعلق باجتياز المسار في مكون Snapshot Endpoint داخل ملف `PlayController.java`. يمكن لمهاجم عن بُعد استغلال هذه الثغرة عن طريق التلاعب بوسائط `deviceId` أو `channelId`، مما يتيح الوصول غير المصرح به إلى الملفات أو الدلائل الموجودة على النظام.

يوجد عيب في اجتياز المسار في نقطة نهاية تنزيل ملفات السجل داخل ملف `LogController.java`. يمكن لمهاجم عن بُعد التلاعب بحجة `fileName` للوصول إلى ملفات خارج الدليل المقصود. اجتياز المسار هو تقنية تسمح للمهاجم بقراءة ملفات عشوائية على الخادم باستخدام أحرف خاصة مثل النقطتين والشرطة المائلة (../) للتنقل في نظام الملفات.

توجد مشكلة في حقن أوامر نظام التشغيل في مكون REST API. يمكن للمهاجمين عن بُعد استغلال هذه الثغرة من خلال التلاعب بالمعلمة `sqlText` التي يتم تمريرها إلى الدالة `Runtime.exec()`.

تسمح مشكلة في مكون نقطة نهاية واجهة برمجة التطبيقات الإدارية (Admin API Endpoint) بتزوير الطلبات من جانب الخادم (SSRF)، وهي حالة يمكن فيها للمهاجم حث الخادم على إرسال طلبات إلى موقع غير مقصود. ويحدث ذلك من خلال التلاعب بوظيفة `IotDataSinkHttpConfig` داخل نقطة النهاية ’/admin-api/iot/data-sink/create‘. ويمكن تنفيذ الهجوم عن بُعد.

يوجد ثغرة أمنية في FlowCI flow-core-x. تكمن المشكلة في وظيفة `Save` داخل الملف `core/src/main/java/com/flowci/core/config/service/ConfigServiceImpl.java` الخاص بمكون SMTP Host Handler. يمكن أن يؤدي هذا التلاعب إلى تزوير الطلبات من جانب الخادم، ويمكن شن الهجوم عن بُعد. الاستغلال متاح للجمهور. تم إخطار المورد ولكنه لم يرد.