Franklioxygen

توجد مشكلة حيث تقوم الدالة `shouldSkipCsrfProtection()` في `backend/src/middleware/csrfConfig.ts` بالتفويض إلى `isApiKeyRequest()`، والتي تمنح إعفاءً من تزوير الطلبات عبر المواقع (CSRF) بناءً فقط على وجود رأس `x-api-key` أو قيمة `Authorization: ApiKey` بدلاً من التحقق الفعلي من صحة مفتاح API. عند استخدام تكوين `CORS ALLOWED ORIGINS` متساهل، يمكن لمهاجم غير مصرح له استدراج مسؤول مصرح له إلى محتوى يتحكم فيه المهاجم يرسل طلب تغيير حالة عبر الأصل باستخدام قيمة مفتاح API عشوائية. يقوم ملف تعريف ارتباط جلسة الضحية بمصادقة الطلب بينما يتم تخطي التحقق من رمز CSRF، مما يسمح بعمليات API إدارية تدميرية أو غيرها مثل حذف الوسائط أو بدء التنزيلات أو تغيير الاشتراكات.

عندما يتم تفعيل `statisticsEnabled` و `statisticsTrackVisitorActivity` ، يمكن للمستخدم الذي يمتلك دور زائر إرسال أحداث مفبركة إلى نقطة نهاية استيعاب الإحصائيات التي تعالجها الدالة `ingestEvents()` في `backend/src/controllers/statisticsController.ts`. يقوم المعالج بقراءة `req.body.events` ويقبل المتغيرات `platform` و `sourceKind` و `sessionId` التي يتحكم فيها العميل دون التحقق منها من جانب الخادم. يتيح ذلك للزائر نسب أحداث وهمية إلى منصات ومصادر وجلسات عشوائية، مما يؤدي إلى إفساد أعداد المشاهدات، وأعداد التنزيلات، وتصنيفات المنصات، وعزو المصادر، وتحليلات الجلسات المرئية للمسؤول.