Fawwaz Musaffa

OpenTelemetry opentelemetry-exporter-otlp-proto-http 1.5.0 before 1.45.0 contains an improper certificate validation vulnerability that disables TLS verification when OTEL EXPORTER OTLP CERTIFICATE variables are empty strings. Man-in-the-middle attackers can impersonate the collector to read or alter exported traces, metrics, and logs, including authentication headers from OTEL EXPORTER OTLP HEADERS.

**اسم البرنامج المصاب والإصدارات المتأثرة** Flower الإصدارات السابقة لـ 2.2.0 **Description** يحدث تزوير الطلبات عبر المواقع (CSRF) بسبب تعطيل xsrf cookies في Tornado وافتقار ملف تعريف ارتباط جلسة OAuth إلى سمة SameSite. يتيح ذلك للمهاجمين استدراج المستخدمين المصرح لهم إلى صفحات خبيثة ترسل طلبات POST غير مصرح بها إلى نقاط النهاية التالية: '/api/worker/shutdown' و '/api/worker/pool/restart' و '/api/task/revoke'. يمكن أن تؤدي هذه الإجراءات إلى إيقاف تشغيل Celery workers، أو تغيير حجم pools، أو إلغاء المهام. **Recommendations** التحديث إلى الإصدار 2.2.0 أو إصدار أحدث.