Gemstone-Source

يمكن للمستخدمين المصادق عليهم الذين يمتلكون إذن `api.webhooks.write` إنشاء webhooks باستخدام بروتوكولات cURL غير المقيدة مثل `file://` أو `dict://` أو `gopher://`. وهذا يسمح للمهاجمين بتشغيل أحداث webhook لقراءة الملفات المحلية أو الوصول إلى معلومات العمليات أو الانتقال إلى الخدمات الداخلية.

يوجد ثغرة من نوع «رفض الخدمة عبر التعبيرات العادية» (ReDoS) في مرشح ووظيفة `regex replace`، اللذين تم إدراجهما في قائمة السماح في بيئة الحماية (sandbox) الخاصة بمحتوى Twig. عندما يتم تمكين معالجة Twig في محتوى الصفحة عبر المتغير `security.twig content.process enabled`، يمكن لمحرر الصفحة المصادق عليه تقديم نمط PCRE يؤدي إلى تراجع كارثي. يتم تمرير هذا النمط إلى دالة PHP `preg replace()`، مما يؤدي إلى استهلاك غير محدود لوحدة المعالجة المركزية (CPU) وحجب الخدمة لعملية خادم الويب.

يمكن لمهاجم غير مصدق أن يجعل رسالة البريد الإلكتروني الخاصة بإعادة تعيين كلمة المرور تحتوي على رابط يشير إلى خادم يخضع لسيطرته. يحدث هذا لأن الدالة `sanitizeHttpUrl()` تفشل في التحقق من المضيف مقارنةً بمصدر الخادم نفسه، حيث تتحقق فقط من أن مخطط عنوان URL هو http أو https. توجد المشكلة في نقطة النهاية ’POST /api/v1/auth/forgot-password‘ عبر الحقل `admin base url`، ويمكن أن تتأثر أيضًا برؤوس `Referer` أو `Origin`. إذا اتبع الضحية الرابط الخبيث، يتم الكشف عن رمز إعادة التعيين الصالح للمهاجم، مما يسمح بالاستيلاء الكامل على الحساب.

توجد مشكلة حيث يقوم مدقق مخطط XSS `Security::detectXss()` بمعالجة محتوى الصفحة الخام قبل أن تتم معالجة Twig. إذا تم تمكين معالجة محتوى Twig عبر `twig content.process enabled: true`، فيمكن للمستخدم الذي يمتلك أذونات API لكتابة الصفحة تجاوز المدقق باستخدام عامل ربط السلاسل في Twig (~) لإنشاء معالجات الأحداث أو العلامات الخطرة أو البروتوكولات ديناميكيًا. ونظرًا لأن أداة التحقق لا ترى سوى تعبير Twig ولا ترى الناتج النهائي المعروض، يمكن تنفيذ جافا سكريبت تعسفي في متصفحات الزوار عند عرض المحتوى عبر `{{ page.content|raw }}`.