Gustavo Novaro

يوجد خلل في التصريح في واجهة برمجة تطبيقات المستخدم يسمح لمستخدم بصلاحيات أساسية بالوصول إلى حسابات مستخدمين آخرين داخل نفس الشركة، بما في ذلك الحسابات ذات الصلاحيات الأعلى. وفي الإصدارات 3.5.0 وما بعدها، يسمح هذا أيضًا بحذف هذه الحسابات. تكمن المشكلة في أن نقاط النهاية 'GET /api/user/{id}' و 'DELETE /api/user/{id}' تتحقق فقط من صحة رمز JSON Web Token عبر برمجية `auth:api` الوسيطة دون التحقق من أذونات أو سياسات أو أدوار محددة في الدالتين `UserReadController::read()` و `UserDeleteController::delete()`. وبينما يتم تقييد الوصول عادةً حسب الشركة، فإن عملية الحذف تتجاوز التحقق من الشركة إذا كان المستخدم المصرح له ينتمي إلى `Company::DEFAULT COMPANY` مما يمكن مستخدمًا أساسيًا في تلك الشركة من حذف أي حساب في كامل التثبيت. قد يؤدي ذلك إلى تسريب بيانات شخصية مثل عناوين البريد الإلكتروني وأرقام الهواتف والعناوين البريدية وأرقام IBAN، واحتمالية حذف آخر حساب إداري للشركة.

Cross-Site Request Forgery (CSRF) occurs in the `OrderConfirmController` at the 'GET /order/confirm/{order number}' endpoint. This issue arises because the `Route::get` declaration allows state-changing actions to bypass the `VerifyCsrfToken` middleware, which only enforces tokens on POST, PUT, PATCH, and DELETE requests. Since session cookies with `SameSite=Lax` are included in top-level cross-site navigation, an unauthenticated attacker can trick an authenticated user into clicking a crafted link to trigger the `confirm()` function. This transitions orders from pending to confirmed without authorization. Additionally, because the `order number` variable uses sequential integers, an attacker can enumerate and confirm all existing orders.

An unrestricted file upload issue exists in the product photo upload feature. An authenticated user with the create product permission, such as the Seller role, can execute arbitrary JavaScript within the application origin. The system validates files based on magic bytes (content signatures) and only rejects a specific list of PHP extensions. However, the `ProductSaveController::save()` function uses the client-supplied extension when saving the file to the public web root. Consequently, a file containing an image header but using an HTML extension can be uploaded to `public/asset/upload/product/` and served as `text/html`, resulting in stored cross-site scripting (XSS), where a malicious script is permanently stored on the server and executed in the browser of users who view the file.

An authorization bypass exists in the supplier API that allows an authenticated user to read, modify, and reassign supplier records belonging to other companies to their own. This is achieved by sending a PUT request to the '/api/supplier/{id}' endpoint and manipulating the `company id` variable within the request body.

An issue exists in the company logo upload feature where the system fails to restrict the upload of dangerous file types. An authenticated user with permissions to create or update companies can upload an SVG document containing an embedded script element, leading to the execution of arbitrary JavaScript within the application origin.

توجد ثغرة في واجهة برمجة التطبيقات (API) الخاصة بالمعاملات تسمح للمستخدم المصادق عليه بقراءة السجلات المالية الخاصة بشركات أخرى على نفس المثيل. ويحدث ذلك لأن النظام لا يقوم بتطبيق نطاق الشركة أو فحوصات الأذونات عند معالجة الطلبات. يتم تشغيل هذه المشكلة عبر معرّف متزايد في نقطة النهاية GET ’/api/transaction/{id}‘، مما يؤثر بشكل خاص على المتغير `id`.

توجد ثغرة تسمح بتجاوز إجراءات التفويض في نقطة نهاية حفظ المعاملات. يمكن للمستخدم الذي يمتلك أذونات إنشاء المعاملات والعمليات المحاسبية الكشف عن معلومات مصرفية حساسة تخص شركة أخرى، بما في ذلك اسم الحساب المصرفي واسم البنك والأرقام الأربعة الأخيرة لرقم البطاقة. يحدث هذا عندما يتم توفير معرّف الحساب المصرفي (`bank account id`) أو معرّف البطاقة المصرفية (`bank card id`) الخاص بشركة أخرى في نقطة النهاية POST ’/transaction/save‘، حيث يقوم النظام بحفظ البيانات وعرضها دون التحقق من ملكية الشركة.

يحتوي مكون الموارد البشرية على بيانات اعتماد مبرمجة بشكل ثابت. يمكن للمهاجمين عن بُعد غير المصادق عليهم المصادقة كأي موظف تم توظيفه من خلال الإجراء القياسي بمجرد تقديم عنوان البريد الإلكتروني للموظف. يحدث هذا لأن وحدة التحكم في حفظ بيانات الموظف تستخدم كلمة المرور `changeme` بشكل افتراضي، ولا يتضمن نموذج التوظيف حقلًا لكلمة المرور.

يوجد ثغرة في نظام التفويض في وحدة إدارة الرواتب، حيث لا يقتصر نطاق استعلام القائمة على شركة المستدعي، ويتم التحقق من وجود معرّف الموظف على المستوى العام بدلاً من التحقق من انتمائه إلى الشركة. وهذا يسمح للمستخدمين المصادق عليهم الذين يمتلكون أذونات قراءة كشوف المرتبات بعرض تفاصيل الرواتب والحسابات المصرفية للموظفين من أي شركة أخرى ضمن نفس المثيل. بالإضافة إلى ذلك، يمكن للمستخدمين الذين يمتلكون أذونات إنشاء كشوف المرتبات إنشاء سجلات كشوف مرتبات تُنسب إلى موظفي شركات أخرى.

يوجد ثغرة في مكون إدارة المنتجات تسمح بتجاوز إجراءات المصادقة. يمكن للمستخدمين المصادق عليهم الوصول إلى البيانات الحساسة، بما في ذلك السعر والتكلفة والمخزون ورمز المنتج (SKU) والباركود، الخاصة بشركات أخرى. بالإضافة إلى ذلك، يمكن للمستخدمين الاستيلاء على المنتجات عن طريق إعادة تعيين `company id` باستخدام المعرف الرقمي للمنتج. يحدث هذا لأن `ProductUpdateController` لا يمتد من `MainController`، مما يؤدي إلى عدم وجود فحوصات المصادقة على نقطة النهاية للقراءة. علاوة على ذلك، تستخدم الدالة `ProductRepository::save()` `Product::find($data[’id‘])` لاسترداد السجلات دون التحقق مما إذا كان المنتج ينتمي إلى شركة المستخدم المصادق عليه قبل تحديث المتغير `company id`.

يوجد ثغرة في مكون إدارة التذاكر تسمح بتجاوز إجراءات التفويض. يمكن للمستخدمين المصادق عليهم الوصول إلى التذاكر الخاصة بشركات أخرى أو تعديلها أو حذفها باستخدام المعرف الرقمي للتذكرة. يحدث هذا لأن عمليات القراءة والحفظ لا تقصر الاستعلامات على شركة المستخدم المصادق عليه. بالإضافة إلى ذلك، يستخدم وحدة التحكم في الحذف كائنًا عامًا من نوع `IlluminateHttpRequest` بدلاً من `TicketDeleteRequest`، مما يؤدي إلى عدم فرض الأذونات اللازمة. وهذا يسمح للمستخدمين بقراءة محتوى التذكرة بالكامل (العنوان والوصف والمرفقات)، أو اختطاف التذاكر عن طريق إعادة تعيين متغير `company id`، أو حذف التذاكر دون إذن.

يوجد ثغرة في مكون إدارة جهات الاتصال تسمح بتجاوز إجراءات المصادقة. يمكن للمستخدمين المصادق عليهم استبدال بيانات جهات الاتصال الخاصة بشركات أخرى أو تنزيل البيانات الشخصية كملف vCard من خلال التلاعب بالمعرف الرقمي لجهة الاتصال. يحدث ذلك لأن عمليات الحفظ والتصدير تسترد السجلات دون تقييد الاستعلام بالشركة المرتبطة بالمستخدم المصادق عليه.

يحتوي مكون إدارة الأذونات على ثغرة أمنية تتمثل في أن نقطة نهاية حفظ الأذونات لا تجري عمليات التحقق من التفويض. وهذا يسمح لأي مستخدم تمت مصادقته بمنح أي دور، بما في ذلك دوره الخاص، مجموعة كاملة من أذونات التطبيق عن طريق إرسال طلب POST مُعد خصيصًا إلى نقطة النهاية، والتي تقوم بعد ذلك بمزامنة الأذونات المرسلة مع الدور المحدد.

يمكن للمستخدمين المصادق عليهم الذين يتمتعون بأذونات إنشاء أو تحديث العملاء المحتملين تنفيذ تعليمات JavaScript تعسفية داخل مصدر التطبيق. يحدث هذا في عرض فهرس العملاء المحتملين عندما يتم عرض علامات HTML المخزنة في حقل اسم العميل المحتمل باستخدام توجيه الإخراج غير المُهرب في Blade ووضعها داخل سلسلة نصية ثابتة في JavaScript ضمن سمة `onclick`.

تحتوي وحدة البريد الإلكتروني على ثغرة في البرمجة النصية عبر المواقع (XSS) المخزنة. يمكن لمستخدم بعيد ومصادق عليه يتمتع بامتيازات منخفضة تنفيذ تعليمات جافا سكريبت تعسفية في متصفح مستخدم آخر، بما في ذلك المسؤولين، عن طريق تخزين حمولة ضارة في نص رسالة البريد الإلكتروني. يحدث هذا لأن نص رسالة البريد الإلكتروني يتم الاحتفاظ به دون تنقية ويتم عرضه دون إزالة الأحرف الخاصة باستخدام `{!! $email->body !!}` عندما يفتح المستلم الرسالة، مما قد يؤدي إلى اختراق الجلسة والاستيلاء على الحساب.

يوجد ثغرة أمنية من نوع «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR) في الأسلوب `DeleteNotificationController::delete()` عند نقطة النهاية `GET /notification/delete/{id}`. تسمح هذه الثغرة لأي مستخدم تمت مصادقته بحذف الإشعارات الخاصة بأي مستخدم آخر في النظام، بغض النظر عن شركته أو أذوناته. تحدث هذه المشكلة لأن وحدة التحكم تستخدم `Notification::findOrFail($id)` لاسترداد السجلات دون التحقق من ملكية `user id` أو `company id`. ونظرًا لأن معرّفات الإشعارات متسلسلة، يمكن للمهاجم تكرار عملية البحث عبر المعرّفات لحذف الإشعارات بشكل منهجي، مما يمنع المستخدمين من رؤية تنبيهات التذاكر وتخصيص المهام وأحداث النظام الأخرى.

يوجد ثغرة في تجاوز التفويض في وحدات التحكم في واجهة برمجة التطبيقات REST الخاصة بـ Order و OrderItem. يمكن للمستخدم البعيد والمصادق عليه قراءة وتعديل وحذف الطلبات وعناصر الطلبات الخاصة بشركات أخرى (المستأجرين) عن طريق توفير معرّف رقمي متسلسل `id` إلى نقاط النهاية التالية: - ’GET /api/order/{id}‘ - ’PUT /api/order/{id}‘ - 'GET /api/order-item/{id}' - ’PUT /api/order-item/{id}‘ - ’DELETE /api/order-item/{id}‘ يحدث هذا لأن وحدات التحكم تستخدم الدالتين `Order::find($id)` و`Item::find($id)` لاسترداد السجلات دون تقييد البحث بشركة المستخدم الذي تمت مصادقته.

يوجد ثغرة في نظام التفويض في `BankAccountListController` (app/Http/Controllers/Api/BankAccount/BankAccountListController.php) عند نقطة النهاية GET ’/api/bank-account‘. يمكن لمهاجم بعيد ومصادق عليه يتمتع بدور ذي امتيازات منخفضة، مثل ”User“، قراءة سجلات حسابات بنكية عشوائية تابعة لشركته. يحدث هذا لأن مسار واجهة برمجة التطبيقات (API) محمي فقط بواسطة البرمجيات الوسيطة `auth:api` ويفتقر إلى بوابة أذونات، على عكس مسار الويب الذي يفرض فحص `can(’read bank‘)`. يستخدم المعالج `Account::where(’company id‘, Auth::user()->company id)->get()`، والذي يطبق نطاق الشركة فقط دون التحقق من دور المستخدم أو أذوناته. يؤدي هذا إلى الكشف غير المصرح به عن البيانات المصرفية الحساسة، بما في ذلك رقم الحساب المصرفي الدولي (IBAN) ورمز SWIFT/BIC ومعرفات الحسابات.

يوجد ثغرة في إجراءات تجاوز التفويض في معالجات استيراد ملفات Excel (CustomerImport وLeadImport وProductImport). يمكن لمستخدم بعيد ومصادق عليه إنشاء سجلات للعملاء والعملاء المحتملين والمنتجات ضمن مستأجر شركة أخرى عن طريق تحميل جدول بيانات إلى نقطة النهاية POST ’/customer/import/excel/save‘. يقوم النظام بتعيين المتغير `company id` مباشرةً من الملف الذي تم تحميله دون التحقق مما إذا كان يتطابق مع شركة المستخدم المصادق عليه، مما يسمح للمستخدم بالتحكم في `company id`.

يوجد ثغرة لتجاوز التفويض في `CalendarDeleteEventController` (app/Http/Controllers/Calendar/CalendarDeleteEventController.php) عبر نقطة النهاية GET ’/calendar/event/delete/{id}‘. يمكن لمهاجم بعيد ومصادق عليه حذف أحداث تقويمية عشوائية تخص مستخدمين آخرين من خلال التلاعب بمعلمة المسار `{id}`. يحدث هذا لأن معالج الحذف يستخدم الدالة `Calendar::find($id)->delete()` دون إجراء فحوصات للملكية، مثل تحديد النطاق بواسطة `user id` أو `company id`، مما يؤدي إلى إتلاف البيانات دون إذن عبر المنصة.