Huan

**اسم البرنامج المصاب والإصدارات المتأثرة** HBAI-Ltd Toonflow-app الإصدارات السابقة لـ 2.0.0 **Description** توجد ثغرة حقن أوامر في مكون Open Folder Endpoint. يمكن للمهاجم المحلي التلاعب بالوسيط `path` الممرر إلى الدالة `child process.exec()` في الملف `src/routes/setting/fileManagement/openFolder.ts` لتنفيذ أوامر عشوائية. **Recommendations** التحديث إلى الإصدار 2.0.0 أو إصدار أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** TOTOLINK X15 الإصدار 1.0.0-B20230714.1105 **الوصف** تم اكتشاف ثغرة أمنية خطيرة في TOTOLINK X15، تؤثر على وظيفة `formMapReboot` الموجودة في الملف `/boafrm/formMapReboot`. يؤدي التلاعب بالمعلمة `deviceMacAddr` إلى حقن الأوامر. يمكن شن الهجوم عن بُعد. تم الكشف عن الاستغلال للجمهور ويمكن استخدامه. تم الاتصال بالشركة المصنعة مسبقًا بشأن هذا الإفصاح، لكنها لم ترد بأي شكل من الأشكال. **التوصيات** كإجراء تجنبي مؤقت، يُنصح بتعطيل وظيفة `formMapReboot` حتى يتوفر تصحيح. قم بتقييد الوصول إلى الملف `/boafrm/formMapReboot` لتقليل مخاطر الاستغلال. تجنب استخدام المعلمة `deviceMacAddr` في نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة حتى يتم حل المشكلة. في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.

**اسم البرنامج المعرض للثغرة والإصدارات المتأثرة** D-Link DI-8100 الإصدار 16.07.26A1 **الوصف** تؤثر ثغرة أمنية حرجة على وظيفة `ctxz asp` الموجودة في الملف `/ctxz.asp` ضمن مكون «صفحة حد الاتصال». يؤدي التلاعب بالمعلمة `def/defTcp/defUdp/defIcmp/defOther` إلى حدوث تجاوز سعة المخزن المؤقت (buffer overflow) قائم على المكدس. يمكن استغلال هذه المشكلة عن بُعد. **التوصيات** بالنسبة لجهاز D-Link DI-8100 الإصدار 16.07.26A1، كإجراء مؤقت، يُنصح بتعطيل وظيفة `ctxz asp` حتى يتوفر تصحيح. قم بتقييد الوصول إلى الملف `/ctxz.asp` لتقليل مخاطر الاستغلال. تجنب استخدام الوسيطة `def/defTcp/defUdp/defIcmp/defOther` في نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة حتى يتم حل المشكلة. في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** D-Link DI-8100 حتى الإصدار 16.07.26A1 **الوصف** تؤثر مشكلة حرجة على معالجة ملف /ddos.asp الخاص بمكون jhttpd. يؤدي التلاعب بالمعلمات `def max`، `def time`، `def tcp max`، `def tcp time`، `def udp max`، `def udp time`، `def icmp max` إلى حدوث تجاوز سعة المخزن المؤقت (buffer overflow) قائم على المكدس. يمكن شن الهجوم عن بُعد، مع درجة تعقيد عالية جدًّا وصعوبة في الاستغلال. **التوصيات** بالنسبة لإصدارات D-Link DI-8100 حتى الإصدار 16.07.26A1، كإجراء تجنبي مؤقت، يُنصح بتقييد الوصول إلى ملف /ddos.asp الخاص بمكون jhttpd حتى يتوفر تصحيح. تجنب التلاعب بالمعلمات `def max`، `def time`، `def tcp max`، `def tcp time`، `def udp max`، `def udp time`، `def icmp max` في المكون المتأثر لتقليل مخاطر الاستغلال إلى أدنى حد. في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.