Icysun

Exposure of Sensitive Information (system level configuration info) to an Unauthorized Actor vulnerability in Apache Kylin. This issue affects Apache Kylin: from 4 through 5.0.4. Users are recommended to upgrade to version 5.0.5, which fixes the issue.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Apache InLong من 2.0.0 حتى 2.3.x **الوصف** توجد مشكلة في حقن المعلمات في ModuleManager الخاص ببرنامج تثبيت الوكيل (Agent Installer). يقوم النظام بتنفيذ أوامر شل تعسفية عبر الدالة `ExcuteLinux.exeCmd()` بسبب الافتقار إلى التصفية المناسبة أو التحقق من قائمة المسموح بها لمحددات المعلمات. **التوصيات** الترقية إلى الإصدار 2.4.0.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات DataEase الأقدم من 2.10.24 **الوصف** يستخدم مكون `ShareSecretManage` مفتاح توقيع رابط مشاركة افتراضي مبرمج بشكل ثابت. يمكن للمهاجم الذي يحصل على مشاركة بدون كلمة مرور لمورد ما ومستخدم ما استخدام المفتاح المعروف `link-pwd-fit2cloud` لتزوير رموز `linkToken` JSON Web Tokens (JWTs). وهذا يسمح للمهاجم بتجاوز التحقق بواسطة `TokenFilter` والوصول إلى موارد الخلفية بصفته منشئ المشاركة، حتى لو تم إلغاء المشاركة الأصلية. **التوصيات** قم بالتحديث إلى الإصدار 2.10.24.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات logback-core الأقدم من 1.5.35 **الوصف** توجد ثغرة تسمح بتنفيذ تعليمات برمجية عشوائية في معالجة ملفات التكوين الشرطية لتطبيقات Java. يمكن للمهاجم تنفيذ تعليمات برمجية عشوائية عن طريق اختراق ملف تكوين logback موجود أو عن طريق حقن متغير بيئة قبل تنفيذ البرنامج، مما يتجاوز إجراءات الحماية المطبقة ضد ثغرات مماثلة سابقة. يتطلب هذا الهجوم وجود مكتبة Janino في مسار فئات المستخدم، كما يتطلب أن يتمتع المهاجم بامتيازات موجودة مسبقًا، مثل حق الوصول للكتابة إلى ملف التكوين أو القدرة على إدخال متغير بيئة ضار يشير إلى ملف تكوين ضار. **التوصيات** قم بالتحديث إلى الإصدار 1.5.35 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Crawl4AI الأقدم من 0.8.7 **الوصف** توجد ثغرة في البرمجة النصية عبر المواقع (XSS) المخزنة في لوحة تحكم المراقبة. يقوم التطبيق بعرض عناوين URL الخاصة بالزحف ورسائل الخطأ باستخدام `innerHTML` دون إجراء التهرب المناسب. وهذا يسمح للمهاجم بإرسال طلب زحف مُصمم خصيصًا يحتوي على علامات برمجية ضارة، والتي يتم تنفيذها بعد ذلك في متصفح المشغل الذي يشاهد لوحة التحكم. **التوصيات** قم بالتحديث إلى الإصدار 0.8.7 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Crawl4AI الأقدم من 0.8.7 **الوصف** يحتوي خادم واجهة برمجة تطبيقات (API) Docker على ثغرة تسمح بتجاوز المصادقة، ناتجة عن استخدام مفتاح توقيع JWT (JSON Web Token) افتراضي مبرمج بشكل ثابت. JWT هو وسيلة مدمجة وآمنة للاستخدام في عناوين URL لتمثيل المطالبات التي يتم نقلها بين طرفين. ونظرًا لأن السر المستخدم لتوقيع هذه الرموز معروف للجميع، يمكن لمهاجم عن بُعد تزوير رموز صالحة لأي مستخدم لتجاوز المصادقة والحصول على وصول كامل إلى الوظائف المحمية. **التوصيات** قم بالتحديث إلى الإصدار 0.8.7.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Crawl4AI الأقدم من 0.8.7 **الوصف** تؤثر مشكلات أمنية متعددة على خادم واجهة برمجة تطبيقات (API) Crawl4AI Docker: - تسمح نقطة النهاية `/execute js` بتنفيذ جافا سكريبت تعسفي في سياق متصفح الخادم بسبب تمكين الخيار `--disable-web-security`، مما يمكن استخدامه لتنفيذ تزوير الطلبات من جانب الخادم (SSRF) ضد الخدمات الداخلية. - نقاط النهاية `/screenshot` و`/pdf` معرضة لكتابة ملفات تعسفية عبر المعلمة `output path`، مما يسمح للمهاجمين بالكتابة فوق ملفات الخادم أو الكتابة في أي موقع يمكن لمستخدم التطبيق الكتابة فيه. - يمكن تنفيذ هجمات SSRF عبر نقاط النهاية `/crawl/job` و`/llm/job` باستخدام عناوين URL الخاصة بـ webhook، وكذلك عبر نقاط النهاية `/crawl` و`/crawl/stream` و`/md` و`/llm`. يمكن للمهاجمين تجاوز قوائم حظر العناوين الداخلية باستخدام عناوين IPv4 المُخاطبة بـ IPv6 للوصول إلى الخدمات الداخلية ونقاط النهاية الخاصة ببيانات التعريف السحابية. - توجد ثغرة في تجاوز المصادقة في جهاز توجيه المراقبة، مما يجعل نقاط النهاية مثل `/monitor/actions/cleanup` قابلة للوصول دون مصادقة. - لوحة معلومات المراقبة معرضة لخطر البرمجة النصية عبر المواقع المخزنة (XSS) لأنها تعرض عناوين URL الخاصة بالزحف ورسائل الخطأ باستخدام `innerHTML` دون إجراء الهروب المناسب. - يستخدم النظام مفتاحًا سريًّا لـ JWT مبرمجًا بشكل ثابت، ويكون افتراضيًّا هو `mysecret`، مما يتيح تزوير رموز المصادقة. **التوصيات** التحديث إلى الإصدار 0.8.7 أو أحدث. تعيين `CRAWL4AI API TOKEN` لتمكين المصادقة. تكوين مفتاح `SECRET KEY` قوي يتكون من 32

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Crawl4AI السابقة للإصدار 0.8.7 **الوصف** تؤثر مشكلات أمنية متعددة على خادم Crawl4AI Docker API. البرنامج معرض لخطر تزوير الطلبات من جانب الخادم (SSRF)، وهي حالة يمكن فيها للمهاجم حث الخادم على إرسال طلبات إلى موقع غير مقصود، من خلال نقاط النهاية ’/crawl‘ و'/crawl/stream' و'/md' و'/llm' و'/crawl/job' و'/llm/job'. يمكن للمهاجمين تجاوز قوائم حظر العناوين الداخلية باستخدام عناوين IPv4 المُخاطبة عبر IPv6 للوصول إلى الخدمات الداخلية وشبكات Docker ونقاط نهاية البيانات الوصفية السحابية. بالإضافة إلى ذلك، تسمح نقاط النهاية ’/screenshot‘ و'/pdf' بكتابة ملفات عشوائية عبر المعلمة `output path`، مما يتيح الكتابة فوق ملفات الخادم. تسمح نقطة النهاية ’/execute js‘ بتنفيذ جافا سكريبت تعسفي في متصفح الخادم. وتشمل المشكلات الأخرى تجاوز المصادقة على نقاط النهاية الخاصة بأداة المراقبة، ووجود ثغرة برمجة عبر المواقع (XSS) مخزنة في لوحة معلومات أداة المراقبة، ومفتاح سري JWT مبرمج بشكل ثابت يسمح بتزوير رموز المصادقة. **التوصيات** قم بالتحديث إلى الإصدار 0.8.7 أو أحدث. اضبط `CRAWL4AI API TOKEN` لتمكين المصادقة. اضبط مفتاح `SECRET KEY` قويًا يتكون من 32 حرفًا على الأقل في حالة استخدام JWT. قم بتقييد الوصول الشبكي إلى واجهة برمجة تطبيقات Docker. كإجراء تخفيفي مؤقت، قم بتعطيل نقطة النهاية `/execute js` باستخدام متغير البيئة `CRAWL4AI EXECUTE JS ENABLED`.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Crawl4AI السابقة للإصدار 0.8.7 **الوصف** تستخدم الدالة ` safe eval expression()` في ميزة الحقول المحسوبة أداة التحقق من صحة AST (شجرة النحو المجردة) التي تحظر فقط السمات التي تبدأ بشرطة سفلية. ونظرًا لأن سمات مولدات Python وكائنات الإطارات مثل `gi frame` و`f back` و`f builtins` لا تبدأ بشرطة سفلية، فيمكن استخدامها للهروب من بيئة الحماية (sandbox) وتنفيذ تعليمات برمجية تعسفية. يمكن لمهاجم غير مصدق هويته تشغيل هذه الثغرة عن طريق إرسال طلب «POST /crawl» مع مخطط `JsonCssExtractionStrategy` مُعد خصيصًا يحتوي على تعبير حقل محسوب ضار. وهذا يسمح للمهاجم بالوصول إلى سلسلة الإطارات، والوصول إلى `f builtins` لاستيراد وحدة `os`، وتنفيذ أوامر نظام تعسفية داخل حاوية Docker، مما قد يؤدي إلى الوصول إلى نظام الملفات وتسريب المعلومات السرية. **التوصيات** التحديث إلى الإصدار 0.8.7. تمكين مصادقة JWT عبر متغير البيئة `CRAWL4AI API TOKEN`. تقييد الوصول الشبكي إلى واجهة برمجة تطبيقات Docker.