Hinotoi-Agent

يثق خادم واجهة برمجة التطبيقات (API) المحلي في عنوان النظير عبر بروتوكول TCP لتجاوز فحص رمز الحامل `API AUTH KEY` لعملاء loopback، كما يفتقر إلى التحقق من صحة رأس المضيف (Host header) أثناء الارتباط بـ 0.0.0.0 باستخدام CORS مع بيانات اعتماد بشكل افتراضي. وهذا يسمح لصفحة ويب تعيد ربط DNS بإصدار طلبات مصادق عليها إلى واجهة برمجة التطبيقات المحلية باعتبارها عميلًا موثوقًا به من نوع loopback. ونظرًا لأن طلبات loopback تقوم تلقائيًّا بتمكين أدوات shell، يمكن للمهاجم الوصول إلى نقطة النهاية ’POST /swarm/runs‘ باستخدام إعداد مسبق مدمج يسمح لأداة `bash` بتنفيذ التعليمات البرمجية عن بُعد بصفته مستخدم عملية واجهة برمجة التطبيقات. بالإضافة إلى ذلك، يتيح هذا الالتفاف تشغيل «Live Runner» والكتابة فوق إعدادات LLM ومصدر البيانات لإعادة توجيه حركة مرور المزود واستخراج بيانات الاعتماد.

توجد ثغرة لتجاوز عملية المصادقة في نقطة نهاية تصدير الجلسة، مما يسمح للمستخدمين المصادق عليهم بالوصول إلى الجلسات الخاصة بملفات تعريف أخرى. لا تتحقق الدالة ` handle session export()` الموجودة في ملف ’api/routes.py‘ من ملكية الملف الشخصي النشط قبل تسلسل بيانات الجلسة. وهذا يسمح للمهاجمين بسرقة سجلات جلسات المستخدمين الآخرين من خلال معرفة أو تخمين معرّفات الجلسات.

يقوم البرنامج بإنشاء ملفَي `response store.db` و`webhook subscriptions.json` بأذونات قراءة عامة (الوضع 0o644). يسمح هذا التكوين للمستخدمين المحليين الذين لديهم حق الوصول إلى نظام الملفات بقراءة هذه الملفات مباشرةً، مما يعرض البيانات الحساسة مثل سجل المحادثات، وحمولات الأدوات، والمطالبات، وأسرار HMAC (رمز مصادقة الرسائل القائم على التجزئة) لكل مسار، والتي تُستخدم للتحقق من سلامة الرسائل وأصالتها.

تسمح مشكلة إعادة ربط DNS في نقاط نهاية WebSocket للمهاجمين عن بُعد بتجاوز التحقق من صحة المضيف والمصدر. يحدث هذا لأن البرمجيات الوسيطة FastAPI HTTP لا تعمل مع طلبات ترقية WebSocket على نقاط النهاية ’/api/pty‘ و'/api/ws' و'/api/pub' و'/api/events'. إعادة ربط DNS هي تقنية يستخدمها موقع ويب ضار لخداع المتصفح وإرساله طلبات إلى خادم محلي أو داخلي عن طريق التلاعب بسجلات DNS. تتيح هذه الثغرة للمهاجمين إدخال أوامر ضارة أو قراءة مخرجات المحطة الطرفية.

تسمح المعالجة غير السليمة لإعادة التوجيه لجلسات مزودي Amp و Ollama للمهاجمين عبر الشبكة باعتراض ملفات تعريف الارتباط الخاصة بجلسات المتصفح المستوردة. يحدث هذا عندما يصدر هدف إعادة التوجيه الذي يتحكم فيه المزود إعادة توجيه إلى نقطة نهاية HTTP بنص عادي داخل نطاق المزود نفسه، مما يمكّن المهاجمين الموجودين على مسار الشبكة من تلقي ملفات تعريف الارتباط في طلبات HTTP بنص عادي.

توجد مشكلة تتعلق برفض الخدمة في معالج تنزيل الوسائط بقناة Matrix. يمكن لأعضاء الغرفة المعتمدين استنفاد ذاكرة العملية وعرض النطاق الترددي عن طريق إرسال أحداث وسائط تفتقر إلى بيانات تعريف الحجم أو تحتوي على بيانات تعريف حجم غير صالحة. من خلال إرسال عدة أحداث وسائط متزامنة عبر Matrix مع أحجام محددة مفقودة أو غير صالحة، يمكن للمهاجم تشغيل عمليات تنزيل وسائط كبيرة الحجم في وقت واحد. تؤدي عمليات التنزيل هذه إلى تكوين نصوص الاستجابة بالكامل قبل رفضها بعد التنزيل، مما يستهلك موارد النظام حتى يحدث تدهور في الخدمة.

تسمح المعالجة غير الآمنة للملفات المؤقتة في سير عمل توثيق الإصدار للمهاجمين المحليين بالوصول إلى بيانات الاعتماد الحساسة أو التلاعب بملفات البناء. ويتم ذلك من خلال استغلال مسارات الملفات التي يمكن التنبؤ بها، مما يمكّن المهاجمين الموجودين على نفس المضيف من قراءة مفتاح واجهة برمجة تطبيقات App Store Connect المكتوب في مسار ثابت. بالإضافة إلى ذلك، يمكن للمهاجمين إنشاء ملفات أو روابط رمزية مسبقًا في مواقع يمكن التنبؤ بها لإعادة توجيه عمليات الكتابة إلى وجهات يسيطر عليها المهاجمون أو تعديل أرشيفات التصديق قبل إرسالها.

توجد ثغرة لتجاوز المصادقة في مسار التحقق من رمز المستخدم (user-token) الخاص بالمنسق. تفشل الدالة `verifyUserToken()` في رفض الحمولات التي تحتوي على مطالبة «admin»، مما يسمح للمهاجمين بترقية الامتيازات. يمكن للمهاجم الذي لديه وصول إلى رمز مميز مشترك غير خاص بالمسؤول إنشاء حمولة رمز مميز المستخدم مع تعيين المتغير `admin` على `true`، وتوقيعها باستخدام HMAC-SHA256 (دالة تجزئة تشفيرية تُستخدم للتحقق من سلامة البيانات)، والوصول إلى مسارات المنسق المخصصة للمسؤولين فقط. وهذا يوفر وصولاً كاملاً للمسؤول إلى المنسق، بما في ذلك رؤية عقود الإيجار، وإدارة حالة المجموعات، وعمليات الإفراج القسري.

يقوم البرنامج بإنشاء دليل وملف تكوين الخدمة الخلفية (daemon) باستخدام أذونات نظام الملفات الافتراضية التي قد تكون قابلة للقراءة من قبل الجميع في الأنظمة المشابهة لنظام يونكس. وهذا يسمح للمهاجمين المحليين بقراءة ملف `~/.summarize/daemon.json`، الذي يحتوي على رموز حامل وبيانات اعتماد واجهة برمجة التطبيقات (API) للمزود المخزنة بشكل دائم. ومن خلال استغلال هذه الأذونات المتساهلة، يمكن للمهاجم الحصول على وصول غير مصرح به إلى الخدمة الخلفية أو استعادة مفاتيح واجهة برمجة التطبيقات (API) الحساسة.

توجد ثغرة غير متسقة في الحماية من تزوير الطلبات من جانب الخادم (SSRF) في معالجة عناوين URL لأدوات بروتوكول سياق النموذج (MCP). في حين أن نقاط النهاية الخاصة بالمعاينة المباشرة والتشغيل ترفض عناوين URL الخاصة بالشبكة الداخلية أو الخاصة، فإن نقاط النهاية المستخدمة لإنشاء أدوات MCP أو تحديثها تسمح بتخزين عناوين URL الداخلية لخادم MCP. ويمكن بعد ذلك استخدام عناوين URL المخزنة هذه من قبل عملية تنفيذ سير العمل دون إجراء مزيد من التحقق من صحة الوجهة. يمكن للمستخدم المصادق عليه الذي يمتلك أذونات لإدارة مجموعات أدوات MCP تخزين نقطة نهاية داخلية، مثل `http://localhost:3000/mcp`، مما يتسبب في اتصال مشغل سير العمل الخلفي بتلك الوجهة الداخلية.

توجد مشكلة في حدود نظام ملفات المضيف/الحاوية عند معالجة المرفقات الصادرة وتنظيف صندوق البريد الصادر. يمكن للحاوية المخترقة أو التي تم حقنها بموجهات أن تقرأ الملفات خارج دليل صندوق البريد الصادر المقصود عن طريق توفير قيم `messages out.id` و`content.files` مصممة خصيصًا أو عن طريق إنشاء ملفات صندوق بريد صادر مرتبطة برمز رمزي. قد يؤدي ذلك إلى قراءة ملفات عشوائية من جانب المضيف، وفي حالات معينة، إلى الحذف التكراري للمسارات خارج هدف التنظيف المقصود.

تسمح مشكلة تجاوز المسار عند حذف المشاريع للمهاجمين المحليين بحذف دلائل عشوائية بشكل متكرر. من خلال توفير مسارات مطلقة تتجاوز الدليل الجذري `dir.projects` المُعد مسبقًا، يمكن للمهاجمين استهداف ملفات علامات المشاريع خارج حدود تخزين المشاريع. يؤدي هذا الإجراء إلى الحذف التكراري للدلائل المختارة باستخدام أذونات عملية radare2، مما يؤدي إلى فقدان السلامة والتوافر.

توجد مشكلة تتعلق بحذف ملفات عشوائية في نقطة النهاية ’/api/session/delete‘. يمكن للمهاجمين المصادق عليهم حذف الملفات خارج دليل الجلسة عن طريق توفير مسار مطلق أو حمولة لاجتياز المسار في المعلمة `session id`. يحدث هذا لأن معرّفات الجلسة غير المصادق عليها تسمح بإنشاء مسارات تتجاوز حدود SESSION DIR، مما يتيح حذف ملفات JSON القابلة للكتابة على نظام المضيف.

تكون أوامر دورة حياة المكونات الإضافية متاحة للمُرسِلين عن بُعد بشكل افتراضي. وهذا يتيح للمهاجمين الذين يتمكنون من الوصول عبر طبقة القناة إدارة حالات الثقة والتفعيل الخاصة بالمكونات الإضافية عن بُعد، مما قد يؤدي إلى تثبيت وتفعيل مكونات إضافية غير مصرح بها على النظام. تشمل نقاط نهاية واجهة برمجة التطبيقات (API) المتأثرة ’/plugin install‘ و'/plugin enable' و'/plugin disable' و'/reload-plugins'.

توجد ثغرة لتجاوز المصادقة في واجهة مسارات HTTP لـ VikingBot OpenAPI. تحدث المشكلة عندما تكون قيمة التكوين `api key` غير محددة أو فارغة، مما يؤدي إلى فشل فحص المصادقة بشكل افتراضي. يمكن للمهاجمين عن بُعد الذين لديهم وصول شبكي إلى الخدمة المعرضة استدعاء وظائف التحكم في الروبوت ذات الامتيازات دون تقديم رأس «X-API-Key» صالح. وهذا يسمح بإرسال مطالبات يتحكم فيها المهاجم، وإنشاء أو استخدام جلسات الروبوت، والوصول غير المصرح به إلى الأدوات والتكاملات والأسرار أو البيانات المتاحة للروبوت.