Infinit3I

توجد مشكلة حيث تقوم الدالة `SAML.verifySamlResponseSignature` باستدعاء `OpenSAML SignatureValidator.validate` دون تطبيق `SAMLSignatureProfileValidator` أولاً. يسمح هذا للنظام بقبول توقيع صالح تشفيرياً يشير إلى عنصر XML مختلف عن الاستجابة أو التأكيد المستخدم للمصادقة. يمكن للمهاجم نقل عنصر موقع داخل المستند وتقديم عنصر هوية خبيث، مما يؤدي إلى حدوث XML Signature Wrapping، وهو ما يسمح بالمصادقة كمستخدم آخر لمزود الهوية. يؤثر هذا على مسارات التوقيع على مستوى الاستجابة ومستوى التأكيد، ويظل الوصول ممكناً أثناء تسجيل الدخول الذي يبدأه مزود الخدمة (SP) حتى لو تم تعطيل `allowIDPInitiatedLogin`.

توجد مشكلة في الدالة `SAML.handleCallback()` حيث تفشل في استهلاك RelayState، أو تسجيل معرفات التأكيد (assertion identifiers)، أو فرض `Response.InResponseTo`. في التدفقات التي يبدأها مزود الخدمة (SP)، يمكن للمهاجم الذي يمتلك استجابة SAML صالحة وRelayState مطابقة إعادة إرسالهما إلى نقطة النهاية `/recipe/saml/callback` قبل انتهاء صلاحية التأكيد. وفي التدفقات التي يبدأها مزود الهوية (IdP)، يمكن إعادة تشغيل التأكيد بدون RelayState. بالإضافة إلى ذلك، فإن غياب التحقق من `Response.InResponseTo` يسمح بإكمال عملية تسجيل دخول جارية باستخدام تأكيد لهوية مختلفة ويتجاوز إعداد `allowIDPInitiatedLogin=false`. كما يفشل الـ callback في التحقق من Destination أو SubjectConfirmationData Recipient و NotOnOrAfter، مما يؤدي إلى إصدار رمز تفويض جديد لهوية المستخدم التي تم اعتراضها.

توجد ثغرة حقن SQL في واجهة إدارة Mautic عند نقطة النهاية '/s/ajax'. تحدث المشكلة لأن معامل الطلب المستخدم لتحديد حقل جهة الاتصال للبحث لا يتم التحقق من صحته بشكل صحيح قبل إدراجه في استعلام قاعدة البيانات. يمكن لأي مستخدم مصادق عليه، بغض النظر عن دوره أو الصلاحيات الممنوحة له، استغلال ذلك باستخدام تقنيات عمياء—مثل الطرق القائمة على القيم المنطقية أو الوقت—لتنفيذ استعلامات SQL عشوائية. يتيح ذلك للمهاجم قراءة معلومات حساسة من قاعدة البيانات، بما في ذلك حسابات المستخدمين، وعناوين البريد الإلكتروني، وتجزئات كلمات المرور، وبيانات جهات الاتصال، ومحتوى الحملات.

An issue exists where the `ApplicationModel.ts` model accepts a caller-chosen application authorization identifier. The endpoint 'applications/:id/confirm' binds this identifier to a logged-in user via a generic consent page. Subsequently, the public endpoint 'packages/server/src/routes/api/application auth.ts' passes this identifier to the `createAppPassword()` function without authenticating or binding the redeemer. This allows an attacker to trick a victim into approving a malicious identifier, obtain a durable application ID and password, and exchange these credentials for a session with full read and write access to the victim's synchronized data.

An issue exists in the `host port()` function within `adminer/include/functions.inc.php` where the login `server` string is improperly parsed. The port capture group requires digits anchored to the end of the string; if a server value contains a non-digit tail, the regex fails and the entire string is returned as the host with an empty port. This allows a remote, unauthenticated attacker to bypass the privileged-port restriction in `adminer/include/auth.inc.php` by submitting a crafted value, such as `127.0.0.1:80/x`. Consequently, the mysqli/mysqlnd client re-parses the host and port, enabling server-side request forgery (SSRF) and blind internal port scanning by observing connection responses (connection refused, handshake, or timeout) before credentials are validated.

يقوم البرنامج بإضافة رأس `X-Forwarded-Prefix` المقدم من العميل إلى `$ SERVER[”REQUEST URI“]` دون إجراء فحص للوكيل الموثوق به أو التحقق من صحة قيمة البادئة. يمكن للمهاجم توفير عنوان URL مطلق عبر رأس `X-Forwarded-Prefix`، والذي يتم بعد ذلك دمجه في رؤوس إعادة التوجيه Location، وسمة المسار Set-Cookie، والروابط المرجعية الذاتية. وهذا يسمح بإعادة توجيه مفتوحة مصادق عليها بعد طلبات POST التي تغير الحالة، والتحكم غير المصادق عليه في سمة مسار ملف تعريف الارتباط للجلسة، وتسميم الروابط المرجعية الذاتية. لا يمكن تقسيم الرؤوس أو تنفيذ البرمجة النصية عبر المواقع (XSS) نظرًا لعدم إمكانية إدخال أحرف Carriage Return/Line Feed (CR/LF).

توجد مشكلة تتعلق بتزوير الطلبات من جانب الخادم (SSRF) في أداة التحقق من صحة حقل «الخادم» في نموذج تسجيل الدخول. يقوم أداة التحقق بالتحقق فقط من الأعداد الصحيحة في بداية القيم الخاصة بالمنافذ ذات الامتيازات، ولا ترفض قيم المنافذ غير الرقمية. وهذا يسمح للمهاجمين بإدخال مفاتيح PDO DSN، مثل `host=` و`port=`، في المعلمة `server` لتجاوز القيود المفروضة على المنافذ ذات الامتيازات وإنشاء اتصالات TCP بمضيفات ومنافذ داخلية عشوائية قبل المصادقة.

يسمح إصلاح غير كامل في آلية التحقق من الصحة داخل ملف `bootstrap.inc.php` لبعض القيم في رأس `X-Forwarded-Prefix` بتجاوز الفحوصات الأمنية. ورغم أن النظام يحظر البادئات التي تبدأ بـ `//`، إلا أنه يسمح بالقيم التي يكون الحرف الثاني فيها شرطة مائلة عكسية، مثل `/evil.com`. ونظرًا لأن المتصفحات تقوم بتحويل الشرطات المائلة العكسية إلى شرطات مائلة أمامية، فإن مرجع مسار الشبكة هذا يستمر في `REQUEST URI` ويصل إلى دالة `cookie path()`، مما يؤثر على سمة Set-Cookie Path. يمكن استغلال هذه المشكلة إذا تمكنت الأجهزة العميلة من تعيين رأس `X-Forwarded-Prefix`، وعادةً ما يحدث ذلك بسبب تكوين خاطئ للوكيل العكسي أو عدم وجوده، مما يؤدي إلى نطاق غير طبيعي لمسار ملفات تعريف الارتباط.