Farhan Khan

توجد مشكلة تسمح للمهاجمين غير المصرح لهم بالتسبب في استنفاد الموارد من خلال إنشاء مخططات (blueprints) مجهولة بشكل متكرر لملء مساحة تخزين الخادم. يتم ذلك عن طريق إرسال طلبات كبيرة إلى الدالة `HomeController::doProcessCreateBlueprint()` مع تعيين المتغير `expiration` على القيمة 'never'، مما يتجاوز عمليات التطهير التلقائية ويؤدي إلى حجب الخدمة.

يوجد تكوين افتراضي غير آمن في أمثلة Docker Compose يسمح للمهاجمين عن بُعد غير المصرح لهم بالوصول إلى قاعدة بيانات MariaDB. تحدث هذه المشكلة لأن المتغير `MYSQL ALLOW EMPTY PASSWORD` تم ضبطه على `yes` في ملف `database.env` ويتم نشر قاعدة البيانات على المنفذ 3306. يتيح ذلك للمهاجم تسجيل الدخول كمسؤول (root) بدون كلمة مرور لقراءة أو تعديل أو حذف حسابات المستخدمين والمخططات (blueprints) وجميع قواعد البيانات.

blueprintUE Self-Hosted Edition before 4.3.6 contains an iframe injection vulnerability that allows authenticated users to embed arbitrary third-party content by abusing the PeerTube video URL matcher in BlueprintService::findVideoProvider(). Attackers can set a blueprint video URL on an attacker-controlled host, which site.js loads in an unsandboxed iframe after consent, framing fake login forms or malware downloads.

توجد مشكلة في `LoginMiddleware.php` حيث تعتمد عدادات تسجيل الدخول الفاشلة على أسماء مستخدمين حساسة لحالة الأحرف. نظرًا لأن عمليات البحث في MySQL غير حساسة لحالة الأحرف، يمكن للمهاجمين غير المصرح لهم تجاوز قفل الحساب الواحد وتنفيذ هجمات القوة الغاشمة على كلمات المرور عن طريق تغيير حالة أحرف اسم المستخدم.

توجد مشكلة في تعداد الحسابات في ملف `ForgotPasswordMiddleware.php`. يمكن للمهاجمين غير المصرح لهم تحديد عناوين البريد الإلكتروني المسجلة من خلال مقارنة أهداف إعادة توجيه إعادة تعيين كلمة المرور لرسائل البريد الإلكتروني المرسلة. ونظرًا لأن عمليات البحث الفاشلة لا تخضع لتحديد معدل الطلبات، يمكن للمهاجمين إجراء محاولات تعداد غير محدودة.

توجد مشكلة في عدم كفاية انتهاء صلاحية الجلسة حيث تتجاهل الدالة `findUserIDWithConfirmedToken()` في `UserModel` المتغير `confirmed sent at`. يسمح هذا للمهاجمين الذين يحصلون على رابط تأكيد قديم من صندوق بريد مخترق أو نسخة احتياطية أو بريد إعادة توجيه بتنشيط الحسابات غير المؤكدة وتجنب مهمة تنظيف الحسابات غير المؤكدة.