Gn00295120

يفشل محرك البث في فرض القيود المحددة بواسطة علم `--deny-funcs` عند استخدام استدعاءات الدوال بنمط الطريقة (method-style). يحدث هذا لأن الدالة `MethodPart::evaluate()` تستدعي الدوال التي تم حلها دون إجراء فحص للصلاحيات. نتيجة لذلك، يمكن للمستخدمين المصرح لهم الذين يمكنهم إرسال الاستعلامات تشغيل الدوال الممنوعة عبر صيغة الطريقة، مثل `[1,2].map()` أو `$f.put()` و `$f.get()`، مما يسمح بقراءة وكتابة بيانات حاويات الملفات على الرغم من وجود قيود على `file::*`.

في قوالب URL الخاصة بـ `tornado.web.RedirectHandler` يمكن التلاعب باستبدالات التقاط التعبيرات النمطية (regex-capture substitutions) عبر مسارات طلبات مصممة خصيصاً لتغيير مخطط إعادة التوجيه أو موقع الشبكة. يحدث هذا عندما يتم وضع الاستبدالات في بداية المسار، أو مباشرة بعد مضيف ثابت، أو في بداية القالب. يشمل ذلك المتغيرات النسبية للبروتوكول، والمطلقة، والشرطة المائلة العكسية، والمشفرة، وامتدادات المضيف، ومعلومات المستخدم التي تفسرها المتصفحات كوجهات يتحكم فيها المهاجم. تسمح هذه الثغرة بإعادة توجيه مفتوحة على نطاق التطبيق، مما قد يُستخدم في عمليات التصيد الاحتيالي.