Har1Sh-K

يفتقر مشغل Asana (Asana Trigger) إلى المصادقة المناسبة، مما يسمح بقبول سر تحقق جديد لـ webhook من أي طلب يحتوي على رأس `X-Hook-Secret`. يمكن للمهاجم غير المصرح له الذي يعرف عنوان URL الخاص بـ webhook استبدال السر وإرسال أحداث Asana مزيفة. تجتاز هذه الأحداث المزيفة عملية التحقق من التوقيع، مما يمكن المهاجم من تشغيل سير العمل باستخدام بيانات يتم التحكم فيها، وهو ما يؤدي لاحقاً إلى رفض التسليمات الأصلية.

توجد مشكلة تتمثل في أن نقطة النهاية ’GET /api/logs/{service}‘ تسمح لأي مستخدم تمت مصادقته، بما في ذلك أولئك الذين يحملون دور «المشاهد»، بتنزيل سجلات Frigate و nginx. يشمل هذا الخطر كلمات مرور المسؤول التي يتم إنشاؤها تلقائيًا وبيانات اعتماد الكاميرا الموجودة ضمن سلاسل استعلام الطلبات، مما قد يؤدي إلى تصعيد الصلاحيات من مستخدم عارض إلى مسؤول.

يقوم تكامل Konnected بتسجيل نقطة نهاية HTTP باسم «KonnectedView» (الموجودة في homeassistant/components/konnected/ init .py) والتي تم تكوينها بحيث لا تتطلب مصادقة. بينما تتم معالجة طلبات الكتابة (POST و PUT) بواسطة الدالة `update sensor()` وتقوم بالتحقق بشكل صحيح من صحة رأس `Authorization: Bearer <token>`، يتم التعامل مع طلبات القراءة (GET) بواسطة طريقة `get()` منفصلة تفتقر إلى أي فحوصات للمصادقة. وهذا يسمح بالوصول للقراءة دون مصادقة إلى نقطة النهاية.