Hacdias

توجد مشكلة عندما يتم استضافة البرنامج على نظام ملفات لا يميز بين الأحرف الكبيرة والصغيرة، مثل Windows/NTFS، ويكون كل من Signup و CreateUserDir ممكّنَين. يفشل النظام في مراعاة عدم التمييز بين الأحرف الكبيرة والصغيرة أثناء عمليات التحقق من ملكية الدليل الرئيسي أثناء التسجيل الذاتي. ونتيجة لذلك، يتم التعامل مع مستخدمين مسجلين بأسماء تختلف فقط في الأحرف الكبيرة والصغيرة (على سبيل المثال، `CaseVictim` و`casevictim`) على أنهما حسابان منفصلان، لكن يتم توجيههما إلى نفس الدليل الرئيسي الفعلي. يحدث هذا لأن فحص ملكية النطاق يجري مقارنة دقيقة للسلسلة مع مراعاة الأحرف الكبيرة والصغيرة. يمكن للمهاجم تسجيل اسم مستخدم مشابه لقراءة الملفات أو الكتابة فوقها أو حذفها، وهي ملفات تخص حسابًا آخر، عبر نقاط نهاية HTTP المصادق عليها دون الحاجة إلى تفاعل من الضحية.

توجد ثغرة لتجاوز الأذونات في نقطة النهاية ’/api/resources‘. تفشل الدالة `resourceGetHandler` في إجراء فحص `Perm.Download` عند معالجة المعلمة `checksum`. وهذا يسمح للمستخدم المصادق عليه والممنوع من تنزيل الملفات بالحصول على أوراكل تجزئة المحتوى (يدعم md5 و sha1 و sha256 و sha512) لأي ملف ضمن نطاقه. يمكن استغلال هذا الخلل لتأكيد المحتوى المتوقع، أو اكتشاف التغييرات التي طرأت على الملفات، أو تنفيذ هجمات القوة الغاشمة دون اتصال بالإنترنت على الملفات ذات الإنتروبيا المنخفضة.

يمكن للمستخدمين المصادق عليهم تجاوز قواعد الحظر التي يحددها المسؤول، وذلك لأن البرنامج لا يقوم بتوحيد المسارات قبل تقييم قواعد الوصول. توحيد المسارات هو عملية تحويل مسار الملف إلى تمثيل قياسي وفريد. باستخدام مسارات تختلف في الأحرف الكبيرة والصغيرة أو مفصولة بشرطة مائلة عكسية، يمكن للمهاجمين طلب ملفات بتمثيلات بديلة لا تتطابق مع أي قواعد رفض ولكنها لا تزال تشير إلى نفس كائن نظام الملفات، مما يؤدي إلى وصول غير مصرح به إلى الملفات المقيدة ضمن نطاقها.

يمكن للمستخدمين المصادق عليهم كتابة بيانات عشوائية على القرص لأن البرنامج لا يفرض الحد الأقصى المعلن لـ `Upload-Length` في نقطة نهاية PATCH الخاصة بالتحميل القابل للاستئناف في TUS. وهذا يسمح للمهاجمين بإرسال نصوص طلبات كبيرة الحجم تتجاوز الحد الأقصى المعلن للتحميل، مما قد يؤدي إلى استنفاد مساحة القرص المتاحة وتسبب في تعطل الخدمة.

توجد مشكلة تتمثل في فشل البرنامج في الالتزام بعزل `createUserDir` أثناء مسارات التزويد التلقائي للمصادقة عبر الوكيل والربط. وهذا يسمح للمهاجمين الذين يمتلكون بيانات اعتماد صالحة تم توثيقها من المصدر باستغلال تعيين نطاق جذر الخادم لقراءة الملفات الخاصة بالمستخدمين الآخرين وتعديلها وحذفها ومشاركتها.

توجد مشكلة في آلية إخلاء ذاكرة التخزين المؤقت للتحميل في TUS، تتيح للمستخدمين المصادق عليهم الذين يمتلكون إذن «إنشاء» فقط حذف ملفات عشوائية خارج النطاق المخصص لهم. يمكن للمهاجم استبدال دليل أصل بربط رمزي خلال فترة صلاحية ذاكرة التخزين المؤقت (TTL)، لإعادة توجيه استدعاء الدالة `os.Remove()` إلى هدف خارج النطاق المقصود، متجاوزًا بذلك حراس النطاق في ScopedFs وفحوصات `Perm.Delete`.

توجد مشكلة تتمثل في فشل البرنامج في التحقق من انتهاء صلاحية رموز JSON Web Tokens (JWT) — وهي وسيلة موجزة وآمنة للاستخدام في عناوين URL لتمثيل المطالبات المراد نقلها بين طرفين — عند تكوين مصادقة الوكيل باستخدام صفحة تسجيل خروج غير افتراضية. وهذا يسمح للمهاجمين الذين يمتلكون رمزًا كان صالحًا سابقًا بالحفاظ على وصول غير محدود إلى المسارات المحمية ونقاط النهاية الإدارية. بالإضافة إلى ذلك، يمكن استبدال الرموز منتهية الصلاحية بأخرى جديدة من خلال نقطة النهاية الخاصة بالتجديد.

يمكن للمستخدمين المصادق عليهم تجاوز ضوابط الوصول القائمة على المسار أثناء عمليات النسخ وإعادة التسمية والحذف التكرارية. يفشل النظام في التحقق من صحة قواعد الوصول للملفات التابعة، مما يسمح للمهاجم بالتلاعب بالملفات الممنوعة عن طريق تنفيذ هذه العمليات على دليل رئيسي مسموح به، مما يعرض العزل القائم على القواعد للسرية والسلامة للخطر.

يمكن للمستخدمين المصادق عليهم ترك مشاركات عامة قديمة لأن البرنامج يفشل في توحيد المسارات قبل الاستعلام عن فهرس المشاركة في الدالة `DeleteWithPathPrefix()`. يمكن للمهاجم حذف دليل مشترك باستخدام مسار ينتهي بشرطة مائلة، ثم إعادة إنشاء الدليل لاحقًا لكشف محتويات جديدة عبر عنوان URL الخاص بالمشاركة العامة الخاملة.

توجد مشكلة تتمثل في فشل البرنامج في توحيد مسارات الملفات بشكل صحيح عند إنشاء أرشيفات zip أو tar على مضيفات Linux. وعلى وجه التحديد، تستخدم الدالة `getFiles()` الدالة `filepath.ToSlash`، التي لا تقوم بتحويل علامات البار المقلوب في نظام Linux. وهذا يسمح للمستخدم المصادق عليه الذي يمتلك أذونات الإنشاء بتحميل ملفات تحتوي على تسلسلات عبور بنمط Windows (مثل `....`) في اسم الملف. ويتم تخزين أسماء الملفات هذه حرفياً على نظام ملفات Linux ثم يتم تضمينها حرفياً في الأرشيف الذي تم إنشاؤه. عندما يقوم الضحية بتنزيل واستخراج مثل هذا الأرشيف باستخدام أدوات استخراج تعمل بنظام Windows (مثل Windows Explorer أو 7-Zip أو WinRAR)، يتم تفسير الخطوط المائلة العكسية على أنها فواصل للمسارات. يؤدي هذا إلى كتابة ملفات عشوائية، مما يسمح بكتابة الملفات خارج دليل الاستخراج المقصود على جهاز الضحية.

The issue arises when encoding data that contains a `Bytes` kind Node using the `json` codec, causing the encoder to panic as it does not expect to receive `Bytes` tokens. This should be treated as an error since plain JSON cannot encode bytes. The `dag-json` codec is not impacted, and neither is the use of `json` as a decoder. If the `json` codec is used to encode user-supplied data, it may be used as a vector for a denial of service attack.