Gigioneggiando

يفشل برنامج تنزيل الأيقونات في تطبيق فحص `should block host()` على المضيف في المرحلة الثانية عند معالجة روابط favicon التي يتم تحليلها من HTML يتحكم فيه المهاجم ويتم تمريرها إلى `get page with referer()`. يسمح هذا لمهاجم عن بُعد غير مصرح له باستخدام رابط IP-literal في favicon لتجاوز تسوية المضيف وإجبار الخادم على الوصول إلى عناوين loopback أو عناوين خاصة وداخلية. تحدث هذه المشكلة في المثيلات التي تم فيها تمكين تنزيل الأيقونات الداخلية، ويمكن أن تؤدي إلى كشف استجابات داخلية أو الكشف عن إمكانية الوصول إلى الشبكة الداخلية من خلال التوقيت والحالة وسلوك التخزين المؤقت.

يمكن للمستخدمين الموثقين غير المسؤولين الذين لديهم إذن تصدير الأدوات الحصول على كود Python المصدري الكامل للأدوات المشاركة معهم في وضع القراءة فقط. يحدث هذا عند طلب نقطة النهاية 'GET /api/v1/tools/export'، مما قد يؤدي إلى كشف مفاتيح API وبيانات الاعتماد المدمجة.

توجد مشكلة في رفض الخدمة تتيح للمستخدمين الذين لديهم صلاحيات الاستعلام وتفعيل البرمجيات النصية (scripting) التسبب في تعطل الخادم. يحدث هذا عند قراءة قيم الرأس (header) غير التابعة لمعيار ASCII في JavaScript المدمج. يتم إيقاف عملية الخادم عندما يتم الوصول إلى هذه القيم عبر وظائف `get()` أو `entries()` أو `values()` أو `getSetCookie()` الخاصة بكائن Headers، أو عند إرجاعها من نقاط نهاية `fetch()`.

يمكن لوحدات Surrealism استنفاد ذاكرة الخادم لأن أسطر stdout و stderr يتم تخزينها مؤقتًا بدون حدود في ذاكرة المضيف، مما يتجاوز حد ذاكرة الوحدة المكون. يمكن لوحدة خبيثة قام بتثبيتها المالك تقوم بكتابة مخرجات بدون أسطر جديدة أن تؤدي إلى تعطل الخادم، مما يتسبب في حجب الخدمة عن جميع مساحات الأسماء وقواعد البيانات.

توجد مشكلة في الكشف عن المعلومات حيث يمكن لخوادم الوجهة الحصول على ملفات تعريف ارتباط جلسة المستخدم. يحدث هذا أثناء اتصالات وضع OAuth عندما يتم استلام حاوية ملفات تعريف ارتباط المتصفح الكاملة. يمكن لمشغلي خوادم الطرفية، أو خوادم أدوات OpenAPI، أو الاتصالات المتوافقة مع OpenAI التقاط ملفات تعريف ارتباط الجلسة الموجهة هذه من الطلبات الروتينية وإعادة تشغيلها لاختطاف الحسابات، بما في ذلك الحسابات التي تمتلك صلاحيات المسؤول.

Moquette does not limit the depth of topic names and topic filters before processing them through recursive CTrie insertion and matching operations. A remote client can publish or subscribe using a deeply nested topic, triggering a StackOverflowError—a runtime error that occurs when the application's call stack exceeds its allocated limit—which disrupts session processing and results in a denial of service for broker clients.

In the `H2PersistentQueue` component, session message-map names are derived using the prefix `queue ` followed by the client ID, while metadata-map names use `queue `, the client ID, and the suffix ` meta`. If a durable session uses a client ID that ends with ` meta`, its message map can collide with the metadata map of another client. This collision causes sessions to read and write to the same H2 MVStore map using incompatible value types, potentially leading to corrupted queue head and tail data, message loss, misdelivery, failed queue reloads, or the exposure of queued content between sessions.

When a configured authenticator or authorizator class cannot be loaded, the `Server.initializeAuthenticator()` and `Server.initializeAuthorizatorPolicy()` functions treat the failure as if no custom class was configured. This causes the system to fall back to `AcceptAllAuthenticator` or `PermitAllAuthorizatorPolicy`. Consequently, issues such as misspelled class names, missing dependencies, constructor failures, or classpath problems can result in the broker starting with authentication or authorization disabled, despite the operator's configuration.