Hackingrepo

تقوم عائلات قواعد معينة (921، 930، 931، 932، 933، 934، 941، 942، و 943) بفحص أجسام طلبات XML باستخدام تعبير XPath وهو `XML:/*`. يطابق هذا التعبير فقط عقد النصوص للعناصر ولا يطابق قيم سمات XML. وبناءً على ذلك، يمكن للمهاجم تجاوز الكشف عن طريق وضع حمولة هجوم داخل سمة XML. يؤثر هذا الخلل على حوالي 159 قاعدة عبر 9 ملفات قواعد وينطبق على جميع مستويات الارتياب (PL1 إلى PL4).

In the Node.js environment, the `Http2Sessions` component fails to implement proper error handling for `ClientHttp2Session` during the initialization or reuse of HTTP/2 sessions. When a request is configured with `httpVersion: 2` and the `ClientHttp2Session` emits an error, the error bypasses standard Promise rejection handling. This uncaught exception can lead to the termination of the Node.js process, resulting in a denial of service.

يوجد ثغرة في OWASP Core Rule Set (CRS)، وهي مجموعة من القواعد العامة للكشف عن الهجمات المخصصة لجدران الحماية لتطبيقات الويب. تسمح هذه الثغرة بتحميل ملفات ذات امتدادات خطيرة مثل `.php` و`.phar` و`.jsp` و`.jspx` عن طريق إدراج مسافات فارغة في اسم الملف. يحدث ذلك لأن القواعد المتأثرة تفشل في توحيد المسافات البيضاء قبل تقييم التعبير النمطي لامتداد الملف، مما يتسبب في فشل فحص الامتداد بالنقطة. ويكون هذا التجاوز أكثر فعالية على أنظمة Windows وقد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد (RCE) إذا كان التطبيق الأساسي معرضًا للخطر.