Hamed Kohi

Dify before 1.15.0 contains a server-side request forgery vulnerability that allows any authenticated console user to bypass SSRF protections and issue arbitrary HTTP requests to internal services and cloud metadata endpoints due to the Squid proxy configuration only defining source ACLs without destination deny rules and the make request() helper performing no independent destination IP validation. Attackers can use endpoints such as GET /console/api/remote-files/<url>, POST /console/api/remote-files/upload, the HTTP Request workflow node, website crawl, or document import from URL to reach internal components like the sandbox, internal APIs, and PostgreSQL, and on AWS deployments read IAM credentials from the instance metadata service, with the HTTP Request node further enabling POST, PUT, and DELETE writes to internal services relying on network isolation for authorization.

يوجد ثغرة حقن SQL تتطلب مصادقة في وحدة Syndromic Surveillance. يمكن للمستخدمين الذين لديهم صلاحيات بمستوى Clinician قراءة وتعديل محتويات قاعدة البيانات التعسفية عن طريق إرسال قيم مصممة خصيصاً إلى معامل POST `form icd codes[]` في نقطة النهاية 'syndromicsurveillance/index'. تسمح هذه المشكلة باستخدام جملة IN() رقمية غير مقتبسة وجملة UNION DISTINCT SELECT باستخدام قيم حرفية مشفرة بنظام hex لإساءة استخدام دالة `extractvalue()` في MySQL لاستخراج هاشات كلمات مرور bcrypt بناءً على الأخطاء. بالإضافة إلى ذلك، يمكن تنفيذ استعلامات متراكمة لإعادة تعيين كلمات المرور، مما يؤدي إلى الاستيلاء الكامل على الحساب الإداري.

يمكن للمهاجمين غير المصادق عليهم إعادة استخدام رموز إعادة تعيين كلمة المرور منتهية الصلاحية عن طريق إرسالها مباشرةً إلى نقطة النهاية ’/reset‘. يحدث هذا لأن الأسلوب `SavePasswordController::handle()` يستخدم `PasswordToken::findOrFail()` دون التحقق من صلاحية الرمز. ونتيجة لذلك، يتم تجاوز مدة صلاحية الرمز البالغة 24 ساعة، والتي يتم فرضها فقط أثناء عرض النموذج، مما يسمح للمهاجم بتغيير كلمة مرور أي حساب والحصول على جلسة عمل مصادق عليها.

يؤدي الإلغاء غير السليم لجلسة العمل إلى تمكين المهاجمين الذين يمتلكون رمز جلسة عمل صالحًا من الاحتفاظ بالوصول الكامل إلى الحساب حتى بعد تغيير كلمة المرور. ويحدث ذلك لأن جدول `access tokens` لا يتم مسحه أثناء عمليات تغيير كلمة المرور. وعلى وجه التحديد، لا تقوم الدالة `TokensClearer::clearPasswordTokens()` إلا بإزالة الإدخالات من جدول `password tokens`، تاركةً ملفات تعريف الارتباط النشطة للجلسة، ورموز API الحاملة، وإدخالات `RememberAccessToken` طويلة الأمد دون تغيير. بالإضافة إلى ذلك، فإن عمليات إعادة تعيين كلمة المرور التي يفرضها المسؤول عبر نقطة نهاية تحديث المستخدم تفشل في إلغاء هذه الجلسات النشطة.

توجد مشكلة تتعلق بتزوير عناوين IP تتيح للمهاجمين عن بُعد غير المصادق عليهم تجاوز ضوابط تحديد معدل الاستخدام على المثيلات المستضافة ذاتيًا. من خلال التلاعب برأس `X-Forwarded-For` عبر إعدادات Nginx غير صحيحة، يمكن للمهاجمين استخدام التوجيه `$proxy add x forwarded for` لإضافة قيم عشوائية إلى سلسلة الرؤوس وتقديم عنوان IP مزيف.

يسمح وكيل الصور للمهاجمين المصادق عليهم بتشغيل طلبات HTTP داخلية عن طريق تضمين عناوين URL التي يتحكم فيها المهاجمون في علامات الصور BBCode. ويقوم الوكيل باسترداد عناوين URL هذه دون التحقق من صحة عناوين IP الوجهة التي تم تحليلها مقابل نطاقات عناوين loopback أو link-local أو العناوين الخاصة. ويمكن للمهاجمين استخدام التوقيع التلقائي HMAC (رمز مصادقة الرسائل القائم على التجزئة) لإنشاء طلبات وكيل موقعة صالحة تستهدف الخدمات الداخلية، بما في ذلك خدمات شبكة الحاويات وتطبيقات الويب الداخلية ونقاط نهاية بيانات تعريف مثيلات السحابة.

يوجد خلل منطقي يسمح للمسؤولين المسجلين بحذف جميع مجموعات التفويض المدمجة. ويحدث ذلك بسبب عدم تطابق الأنواع في فحص الحماية من الحذف الجماعي ضمن نقطة نهاية AJAX للحذف الجماعي في طرق عرض الإدارة. يقوم النظام بمقارنة معرّفات المجموعات الصحيحة من نوع JSON المستلمة مع القيم النصية الثابتة، مما يؤدي إلى اجتياز فحص الحماية دائمًا. يؤدي هذا الإجراء إلى تدمير نموذج الأذونات في المنتدى وقد يجعل الموقع غير قابل للاستخدام.

ثغرة في نظام تجاوز التفويض تسمح للمشرفين المسجلين بتنفيذ إجراءات غير مصرح بها على المواضيع في المنتديات التي لا يتحكمون فيها. من خلال إرسال قوائم معدة مسبقًا بمعرفات المواضيع في طلب مجمّع، يمكن للمهاجم استخدام موضوع ذي معرف منخفض من منتدى مسموح به كنقطة ارتكاز. يؤدي ذلك إلى اجتياز فحص الأذونات، الذي يُطبق فقط على النتيجة الأولى، مما يتيح تنفيذ إجراءات القفل أو إلغاء القفل أو الحذف أو الإخفاء على المواضيع في المنتديات غير الخاضعة للإشراف.

تدعم وحدة «Media» تقنية oEmbed، التي تستخدم آليتين لاكتشاف عناوين URL: `providers.json` واكتشاف عناوين URL. يمكن استغلال كود اكتشاف عناوين URL لخداع النظام ودفعه إلى إرسال طلبات غير مصرح بها من جانب الخادم إلى أي عنوان URL عشوائي. ويُعرف هذا بـ «تزوير الطلبات من جانب الخادم» (SSRF)، وهو عيب يتيح للمهاجم إجبار الخادم على إرسال طلبات إلى موقع غير مقصود.

تفشل ميزة «الأسئلة غير المدرجة» في فرض قيود الوصول على نقاط نهاية واجهة برمجة التطبيقات (API) المباشرة. وهذا يسمح للمستخدمين المصادق عليهم باكتشاف الأسئلة غير المدرجة والوصول إليها، بما في ذلك إجاباتها وتعليقاتها وسجل تعديلاتها.

توجد ثغرة في البرمجة النصية عبر المواقع (XSS) المخزنة في حقل وصف قالب البريد الإلكتروني في وحدة «حالة النظام والخادم». يمكن للمهاجمين المصادق عليهم ذوي الامتيازات المنخفضة تنفيذ أوامر عشوائية عن طريق إدخال بيانات غير مُعقمة في نقطة النهاية «save tmpl.cgi»، والتي يتم عرضها لاحقًا دون تصفية في نقطة النهاية «list tmpls.cgi».

توجد مشكلة في الكشف عن المعلومات في وحدة التحكم في cron تسمح للمهاجمين غير المصادق عليهم باسترداد مفتاح cron السري للتطبيق. من خلال الوصول إلى وحدة التحكم في cron دون مصادقة، يمكن للمهاجم الحصول على المفتاح السري المكشوف من الاستجابة، مما يتيح تشغيل المهام المجدولة خارج الجدول الزمني المقصود.

توجد ثغرة في البرمجة النصية عبر المواقع (XSS) المنعكسة غير الخاضعة للمصادقة في أداة عرض المعاينة بالمحرر المرئي. يمكن للمهاجمين تنفيذ تعليمات جافا سكريبت تعسفية من خلال التلاعب بمعلمة الاستعلام `r` ومعلمة POST ` component ajax`. يحدث هذا لأن الدالة `isEditor()` لا تقوم بالتحقق من الجلسة أو الدور أو الرمز المميز، كما أن معالج العرض يقوم بإدراج محتوى نصي HTML خام في نص رسالة POST دون تنقيته. يمكن للمهاجمين استخدام رابط ضار أو نموذج يتم إرساله تلقائيًا لتنفيذ تعليمات جافا سكريبت خاضعة لسيطرتهم ضمن سياق مصدر Vvveb.

يسمح محرر كود الإدارة للمستخدمين المصادق عليهم الذين يتمتعون بامتيازات منخفضة — مثل أدوار المحرر أو المؤلف أو المساهم أو site admin — بتنفيذ كود تعسفي. ويحدث ذلك بسبب عدم كفاية قيود امتدادات الملفات، مما يمكّن المهاجمين من كتابة ملف `.htaccess` ضار لتعيين امتدادات تعسفية لمعالج PHP. وبالتالي، يمكن تحميل كود PHP باستخدام تلك الامتدادات لتنفيذ كود عن بُعد عند الوصول إلى الملف عبر HTTP.

تسمح ثغرة تتعلق بكشف المعلومات للمهاجمين غير المصادق عليهم بالحصول على معلومات حساسة عن الخادم من خلال إحداث استثناءات غير معالجة في وحدة إعادة تعيين كلمة المرور. وعند الوصول إلى نقطة نهاية إعادة تعيين كلمة مرور المسؤول، يحدث خطأ فادح بسبب عدم استيراد مساحة الاسم. ويؤدي ذلك إلى الكشف عن المسار المطلق لملفات الخادم، ومساحات أسماء الفئات الداخلية، وأرقام الأسطر، ومقتطفات من شفرة المصدر من خلال معالج استثناءات التصحيح.

توجد مشكلة تتعلق ببيانات اعتماد مبرمجة بشكل ثابت في ملف التكوين `docker-compose-apache.yaml`. وهذا يسمح للمهاجمين غير المصادق عليهم بالوصول إلى حاوية phpMyAdmin المدمجة باستخدام بيانات اعتماد قاعدة البيانات المُعدة مسبقًا. من خلال الاتصال بمنفذ phpMyAdmin، يمكن للمهاجمين الحصول على وصول غير مقيد للقراءة والكتابة إلى قاعدة البيانات بأكملها، بما في ذلك تجزئات كلمات مرور المسؤولين، والمعلومات الشخصية للعملاء، وبيانات الطلبات، مما قد يؤدي إلى الاستيلاء على الحسابات والتلاعب بالبيانات.

توجد مشكلة في نقطة نهاية حفظ ملف تعريف المستخدم الإداري تسمح للمستخدمين المصادق عليهم بتعديل الحقول ذات الصلاحيات الخاصة ضمن ملف تعريفهم الخاص. من خلال إدخال `role id=1` في طلبات حفظ ملف التعريف، يمكن للمهاجم رفع صلاحياته إلى مستوى «المسؤول الفائق». يتيح هذا الارتقاء في الصلاحيات استخدام وظيفة تحميل المكونات الإضافية، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد.

يمكن للمستخدمين المصادق عليهم الذين يتمتعون بأذونات تحميل الوسائط وإعادة تسميتها تنفيذ تعليمات جافا سكريبت تعسفية عن طريق تجاوز التحقق من نوع MIME وإعادة تسمية الملفات التي تم تحميلها بامتدادات قابلة للتنفيذ. ويتم تحقيق ذلك عن طريق إضافة رأس GIF89a إلى الحمولات HTML/JavaScript لتجاوز التحقق من صحة التحميل، ثم إعادة تسمية الملف بامتداد «.html». وهذا يسمح بتنفيذ البرامج النصية الخبيثة في جلسة متصفح المسؤول، مما قد يؤدي إلى إنشاء حسابات خلفية وتحميل مكونات إضافية خبيثة لتنفيذ التعليمات البرمجية عن بُعد.

توجد مشكلة في الإجراء «oEmbedProxy» التابع للوحدة النمطية «editor/editor»، حيث يتم تمرير المعلمة `url` مباشرةً إلى الدالة `getUrl()` عبر curl دون التحقق من صحة نظام العنوان أو الوجهة. يمكن للمستخدمين المصادق عليهم في الخلفية تقديم عناوين URL من نوع «file://» لقراءة ملفات عشوائية يمكن لعملية خادم الويب الوصول إليها، أو عناوين URL من نوع «http://» تستهدف عناوين الشبكة الداخلية لاستكشاف الخدمات الداخلية، مع إرجاع نصوص الاستجابة إلى المتصل. يُعد تزوير الطلبات من جانب الخادم (SSRF) عيبًا يتيح للمهاجم حث التطبيق من جانب الخادم على إرسال طلبات إلى موقع غير مقصود.

تسمح وحدة إدارة الملفات في واجهة المستخدم الخلفية لـ TYPO3 بتحميل أي نوع من الملفات، باستثناء تلك التي يمكن تشغيلها مباشرة في سياق خادم الويب. ويعني عدم وجود هذا القيد أنه من الممكن تحميل ملفات قد تُعتبر ضارةً بشكل محتمل، مثل الملفات الثنائية القابلة للتنفيذ أو الملفات ذات الامتدادات وأنواع MIME غير المتسقة. على الرغم من أن هذه الملفات لا يمكن تشغيلها مباشرة عبر خادم الويب، إلا أن وجودها قد يؤدي إلى مخاطر غير مباشرة، مثل قيام خدمات الجهات الخارجية بالإبلاغ عن الملفات المشبوهة أو حظر وصول المستخدمين النهائيين إلى الموقع في حالة العثور عليها.