Jaime Ramírez

تسمح مشكلة في تفويض مستوى الكائن المكسور (BOLA) للمهاجم بتعديل أو حذف الأهداف التابعة لمشاريع أخرى دون تصريح. يمكن أن يؤدي ذلك إلى المساس بسلامة نطاقات اختبار الاختراق والنتائج وتقارير الأمان المرتبطة بها.

Insecure deserialization occurs when pretrained model checkpoints are loaded using the `torch.load` function with the `weights only` variable set to `False`. This allows arbitrary code execution if an attacker provides a specially crafted malicious checkpoint file. The issue can be triggered during the initialization or fine-tuning path, potentially granting an attacker full control over the system running the software.

Authenticated attackers can execute arbitrary commands on the server host outside of containers. This occurs because the software fails to properly escape environment variable key names when executing Docker commands over SSH on managed servers, allowing the injection of shell metacharacters into these keys.

An issue exists where the bulk asset restore endpoint is restricted by the `assets.edit` permission rather than the `assets.delete` permission. This allows users who possess edit rights but lack delete rights to restore soft-deleted assets. An attacker can send asset identifiers to the bulk restore endpoint to reverse deletions performed by an administrator, thereby bypassing the intended permission separation.

Baserow fails to HTML encode a user's display name when interpolating it into rich-text mention markup. The endpoint 'PATCH /api/user/account/' stores the `first name` value verbatim. Subsequently, the mention renderer in `web-frontend/modules/core/editor/mention.js` uses a template literal to place this name into a `data-label` attribute and the element body without escaping. A name containing a double quote can close the attribute and the opening tag, allowing subsequent markup to be injected into the element content. Because rich-text field components render this result through `v-html`, any rich-text cell mentioning the account executes the stored script for every workspace member who views the table without requiring a click. Any workspace member, regardless of permission level, can set their name to deliver the payload, which persists until the name is changed or the mentioning row is removed.

An issue exists where webhook destinations are validated only during registration and not during use. The `NoInternalUrlRule` function in `backend/app/Validators/Rules/NoInternalUrlRule.php` uses `gethostbyname()` to reject private and reserved IP ranges, but public hostnames are permitted. During dispatch, the `WebhookDispatchService` utilizes the stored URL via `spatie/laravel-webhook-server` without re-validating the destination. Because `backend/config/webhook-server.php` does not configure Guzzle options, redirect following is enabled by default. This allows a destination to redirect the server to a loopback, private, or cloud metadata address, or allows an attacker to change a DNS record after registration to achieve the same result. The `WebhookResponseHandlerService` stores the response body in the webhook log, which is then exposed via the `WebhookLogResource` endpoint, allowing the requester to read responses from internal services. This affects both event and organizer webhooks.

تسمح عملية التحقق غير الصحيحة من الأذونات في عملية تحرير الملف الشخصي للمستخدمين الذين يمتلكون أذونات الملف الشخصي فقط بتعديل حقول التكوين المخصصة في Liquidsoap. تقوم نقطة النهاية ’PUT /api/station/{station id}/profile/edit‘ بإلغاء تسلسل البيانات باستخدام مجموعة عامة تتضمن الخاصية `backend config`، متجاوزةً بذلك الأذونات الأكثر صرامة التي تتطلبها نقطة النهاية المخصصة للتكوين. وهذا يسمح بتعديل المتغيرات بما في ذلك `custom config top` و`custom config` و`custom config pre playlists` و`custom config pre live` و`custom config pre fade` و`custom config bottom`. يتم كتابة هذه القيم مباشرةً في البرنامج النصي Liquidsoap .liq، حيث يمكن استخدام الدالتين المدمجتين `process.run()` و`process.exec()` لتنفيذ أوامر نظام التشغيل عند إعادة تشغيل الخلفية.

توجد مشكلة تتعلق بالتفويض غير السليم بعد المصادقة في موزع BulkActions الشائع. ويحدث التفويض غير السليم عندما يفشل التطبيق في التحقق بشكل كافٍ مما إذا كان المستخدم يمتلك الأذونات اللازمة لتنفيذ إجراء معين.

تحدث ثغرة «التنفيذ البرمجي عبر المواقع» (Cross-site Scripting) في أداة عرض Markdown عندما يقدم المستخدمون المصادق عليهم رابط Markdown يحتوي على علامة اقتباس مزدوجة في عنوان URL. يؤدي هذا الحرف إلى إغلاق سمة href للرابط لأن عملية التنقية تفشل في إخفاء علامات الاقتباس، مما يسمح بتنفيذ تعليمات JavaScript تعسفية داخل مصدر التطبيق.