Grumpinout1

تحتوي طبقة تفويض Git Smart HTTP في الملف `internal/route/repo/http.go` على خلل حيث يعتمد النظام على معامل استعلام `service` يوفره العميل لتحديد سياسة التفويض بدلاً من مسار RPC الفعلي الذي يتم تنفيذه. وتحديداً، يمكن التعامل مع الطلب المرسل إلى نقطة النهاية `/repo.git/git-receive-pack` (المستخدمة لعمليات الدفع/الكتابة) بشكل خاطئ على أنه عملية قراءة إذا تم تعيين سلسلة الاستعلام إلى `service=git-upload-pack`. يسمح هذا للمستخدم الذي يمتلك صلاحيات القراءة فقط بدفع تغييرات إلى المستودع. هذا الأمر مؤثر بشكل خاص في الحالات التي يتم فيها ضبط `REQUIRE SIGNIN VIEW` على `true` لأن ذلك قد يسمح لأي مستخدم مسجل دخوله بالكتابة في أي مستودع. ينتج هذا الخلل عن عدم اتساق في كيفية التحقق من الأفعال فيما يتعلق بحساسية حالة الأحرف.

يقوم مستمع رسائل الدردشة في نافذة صفحة الدردشة بمعالجة رسائل `input:prompt` و`action:submit` دون فرض قيود المنشأ نفسه. وهذا يسمح لموقع خارجي بتعيين نص المطالبة وتشغيل الدالة `submitPrompt()` في جلسة ضحية تمت مصادقتها. يمكن للمهاجم استخدام صفحة عبر الأصول لإرسال الرسائل تلقائيًا، مما يؤدي إلى طلبات غير مصرح بها إلى نقاط النهاية ’POST /api/v1/chats/new‘ و ’POST /api/chat/completions‘. وهذا يتيح تنفيذ إجراءات قسرية عبر المواقع وتنفيذ نماذج أو أدوات بموجب امتيازات الضحية دون موافقتها.

توجد ثغرة تسمح بتنفيذ التعليمات البرمجية عن بُعد في تطبيق سطح المكتب القائم على Tauri. يمكن للمهاجم إدراج رابط ضار في نص طلب السحب (pull request)؛ وإذا نقر المستخدم على هذا الرابط، فسيؤدي ذلك إلى السماح بتنفيذ نصوص برمجية تعسفية داخل عرض الويب Tauri. لا تؤثر هذه الثغرة إلا على المستخدمين الذين قاموا بتمكين تكامل Forge.

تؤدي ثغرة في الدالة `is local url()` إلى تصنيف عناوين URL البعيدة بشكل غير صحيح على أنها مصادر محلية موثوقة في أنظمة التشغيل Windows وAndroid. على هذه المنصات، يقوم Tauri بتعيين بروتوكولات مخططات URI المخصصة إلى `http://<scheme>.localhost/` لأن تطبيقات WebView لا يمكنها تقديم مخططات URI المخصصة مباشرةً. تنشأ المشكلة لأن عملية التحقق من المصادر المحلية لا تتحقق إلا من صحة النطاق الفرعي الأول لعنوان URL. يمكن للمهاجم استغلال هذا الثغرة عن طريق استضافة صفحة على نطاق يتطابق فيه النطاق الفرعي الأول مع مخطط التطبيق المخصص (على سبيل المثال، `http://app.attacker.com/`). وهذا يسمح لصفحة يسيطر عليها المهاجم باستدعاء أوامر الخلفية التي كان من المفترض أن تقتصر على الواجهة الأمامية للتطبيق نفسه وأن تكون محمية من المصادر الخارجية أو البعيدة.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات hoppscotch السابقة للإصدار 2026.3.0 الوصف يحتوي hoppscotch، وهو نظام بيئي مفتوح المصدر لتطوير واجهات برمجة التطبيقات (API)، على ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة، والتي قد تؤدي إلى «تزوير الطلبات عبر المواقع» (CSRF). التوصيات التحديث إلى الإصدار 2026.3.0 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات hoppscotch السابقة للإصدار 2026.3.0 الوصف يحتوي hoppscotch، وهو نظام بيئي مفتوح المصدر لتطوير واجهات برمجة التطبيقات (API)، على ثغرة إعادة توجيه مفتوحة. قد تؤدي هذه الثغرة إلى سرقة الرموز المميزة (tokens)، مما قد يسمح للمهاجم باختراق حسابات المستخدمين عن طريق تسجيل الدخول باسم الضحية. التوصيات تحديث hoppscotch إلى الإصدار 2026.3.0 أو أحدث.

تعد وظيفة WebSocket في خادم التطوير الخاص بـ Storybook، والمستخدمة لإنشاء القصص وتحديثها، عرضة لاختطاف WebSocket. تؤثر هذه المشكلة على خادم التطوير فقط ولا تؤثر على إصدارات الإنتاج. يتطلب استغلال هذه الثغرة أن يقوم مطور بزيارة موقع ويب ضار أثناء تشغيل خادم التطوير المحلي لـ Storybook. تفتقر اتصال WebSocket إلى التحقق من مصدر الاتصال، مما يسمح لموقع ويب ضار بإرسال رسائل WebSocket إلى المثيل المحلي دون تفاعل من المستخدم. إذا كان خادم التطوير لـ Storybook مكشوفًا للجمهور، فيمكن لمهاجم غير معتمد إرسال رسائل WebSocket مباشرةً. تتعرض معالجات رسائل WebSocket الخاصة بإنشاء وحفظ القصص (stories) للاختراق عن طريق حقن عبر مدخلات غير معقمة في حقل `componentFilePath`، مما قد يؤدي إلى حدوث هجمات «التنفيذ عبر المواقع» (XSS) المستمرة أو «التنفيذ عن بُعد للكود» (RCE).

يتأثر Astro، وهو إطار عمل ويب، بثغرة أمنية تتعلق بتزوير الطلبات من جانب الخادم (SSRF) في الإصدارات الأقدم من 9.5.4. وتعتبر الصفحات التي يتم عرضها من جانب الخادم والتي تعرض خطأً مع صفحة خطأ مخصصة تم عرضها مسبقًا (مثل `404.astro` أو `500.astro`) عرضةً لهذه الثغرة. إذا تم التلاعب برأس `Host:` ليشير إلى خادم المهاجم، فيمكن استرداده عند طلب مورد مثل `/500.html`، مما يسمح بإعادة التوجيه إلى أي عنوان URL داخلي ويُمكّن المهاجم من قراءة نص استجابة الطلب الأولي. يمكن للمهاجم الوصول إلى التطبيق دون التحقق من صحة رأس `Host:`، مما قد يكشف عن عنوان IP المصدر الموجود خلف بروكسي، وجعل الخادم يطلب من خادمه الخاص إعادة التوجيه إلى عناوين IP داخلية. وهذا يتيح الوصول إلى عناوين IP الخاصة ببيانات التعريف السحابية والتفاعل مع الخدمات داخل الشبكة الداخلية أو على المضيف المحلي (localhost). تتطلب هذه المشكلة الوصول المباشر إلى الخادم دون استخدام بروكسيات وسيطة.

Langfuse هي منصة مفتوحة المصدر لهندسة نماذج اللغة واسعة النطاق. تقوم نقطة النهاية `/api/public/slack/install` بتشغيل OAuth الخاص بـ Slack باستخدام `projectId` مقدم من العميل دون مصادقة أو تفويض. يتم الاحتفاظ بـ `projectId` طوال مسار OAuth، ويقوم رد الاتصال (callback) بتخزين عمليات التثبيت استنادًا إلى هذه البيانات الوصفية غير الموثوقة. وهذا يسمح للمهاجم بربط مساحة عمل Slack الخاصة به بأي مشروع، ومن المحتمل أن يتلقى تغييرات في المطالبات المخزنة في Langfuse Prompt Management. يمكن للمهاجم استبدال تكاملات Prompt Slack Automation الحالية أو التسجيل المسبق لتكامل خبيث، على الرغم من أن الخيار الأخير يتطلب أن يقوم مستخدم مصادق عليه بتكوينه عن غير قصد، على الرغم من وجود مؤشرات واضحة لمساحة العمل والقناة في واجهة المستخدم.