Hama1Cco

**اسم البرنامج المصاب والإصدارات المتأثرة** phpMyFAQ الإصدارات السابقة لـ 4.1.9 phpMyFAQ الإصدارات من 4.2.0-alpha حتى 4.2.0-beta **الوصف** يفشل لوحة تحكم المستخدم في طلب كلمة المرور الحالية عند تحديث البريد الإلكتروني للحساب، حيث يتحقق النظام فقط من الجلسة ورمز CSRF. يمكن للمهاجم الذي قام باختطاف الجلسة تغيير البريد الإلكتروني إلى بريد خاص به ثم استخدام عملية إعادة تعيين كلمة المرور للسيطرة على الحسابات التي لا تفعل المصادقة الثنائية (2FA)، بما في ذلك حسابات المسؤول الخارق (superadmin). تحدث هذه المشكلة ضمن الدالة `updateData()` والنقطة الطرفية 'api/user/data/update'. **التوصيات** تحديث phpMyFAQ إلى الإصدار 4.1.9 أو أحدث. تحديث phpMyFAQ إلى الإصدار 4.2.0-beta أو أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Hugo الإصدارات السابقة لـ 0.167.0 **Description** توجد مشكلة في تجاوز المسار (path traversal) في css.Sass تسمح للقوالب أو الوحدات الخبيثة بقراءة ملفات خارج جذر المشروع. يحدث هذا من خلال آلية التراجع للاستيراد (import fallback) في مترجم Sass، حيث يمكن للمهاجمين استخدام أهداف @import أو @use نسبية أو مطلقة أو روابط رمزية لتجميع ملفات حساسة ضمن ملف CSS الخاص بالموقع المنشور. **Recommendations** التحديث إلى الإصدار 0.167.0 أو إصدار أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Hugo الإصدارات من 0.84.0 إلى 0.166.0 **Description** توجد مشكلة في تجاوز المسار تسمح للقوالب أو الوحدات الخبيثة بقراءة ملفات خارج جذر المشروع. يحدث هذا من خلال محلل fallback الخاص بـ ESBuild المستخدم في `js.Build` و `js.Batch` و `css.Build`. يمكن للمهاجم استخدام استيرادات نسبية أو روابط رمزية تشير إلى خارج المشروع لتضمين أي ملف يمكن لمستخدم البناء قراءته في مخرجات JavaScript أو CSS النهائية. **Recommendations** تحديث Hugo إلى الإصدار 0.167.0 أو أحدث.