Jlleitschuh

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Gitea (لم يتم تحديد الإصدارات المتأثرة) **الوصف** تتجاوز ثلاثة مسارات برمجية إجراءات الحماية الحالية ضد تزوير الطلبات من جانب الخادم (SSRF) باستخدام `http.Get()` الخام بدلاً من أداة الاتصال `hostmatcher.NewDialContext()` التي تم التحقق من صحتها. وهذا يسمح للمهاجم بإرسال طلبات إلى الخدمات الداخلية، ومسح الشبكات الداخلية (مثل `127.0.0.1`، `10.x`، و`172.16-31.x`، و`192.168.x`)، وسرقة البيانات الوصفية السحابية من نقاط النهاية مثل `169.254.169.254` (على سبيل المثال، بيانات اعتماد AWS IMDSv1 أو رموز GCP). بالإضافة إلى ذلك، فإن استخدام مخطط `file://` في الدالة `Open()` يتيح قراءة الملفات المحلية، مما قد يؤدي إلى كشف ملفات حساسة مثل `/etc/gitea/app.ini` التي قد تحتوي على بيانات اعتماد قاعدة البيانات وأسرار توقيع JWT. تؤثر هذه المشكلة على المكونات التالية: - الدالة `Open()` في `modules/uri/uri.go`. - عمليات تنزيل ملفات الإصدارات والتصحيحات في `services/migrations/gitea uploader.go` و`services/migrations/dump.go`. - الدالة `oauth2UpdateAvatarIfNeed()` في `routers/web/auth/oauth.go`. **التوصيات** في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Gitea الأقدم من 1.26.3 **الوصف** توجد حماية غير كاملة من تزوير الطلبات من جانب الخادم (SSRF) ضمن تصفية قائمة السماح الخاصة بـ webhook وعمليات الترحيل. SSRF هو ثغرة تسمح للمهاجم بحث التطبيق من جانب الخادم على إرسال طلبات إلى موقع غير مقصود. **التوصيات** قم بالتحديث إلى إصدار أحدث من 1.26.2.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات css parser الأقدم من 1.22.0 إصدارات css parser الأقدم من 2.1.0 **الوصف** يفشل البرنامج في التحقق من صحة اتصالات HTTPS عند تحميل أوراق الأنماط، مما يسمح لمهاجم من نوع ”الرجل في الوسط“ (MITM) بإدخال أو تعديل محتوى CSS. يحدث هذا لأن الاتصال يتم إنشاؤه باستخدام `OpenSSL::SSL::VERIFY NONE`، مما يؤدي إلى قبول النظام لأي شهادة HTTPS، بما في ذلك الشهادات غير الموثوق بها، دون التحقق من صحتها. تقع المشكلة في الإعداد `http.verify mode` داخل الملف `lib/css parser/parser.rb`. **التوصيات** التحديث إلى الإصدار 1.22.0. التحديث إلى الإصدار 2.1.0.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات rmcp الأقدم من 1.4.0 إصدارات dynoxide الأقدم من 0.9.13 **الوصف** يفشل نقل خادم HTTP القابل للبث في صندوق `rmcp` في التحقق من صحة رأس `Host` الوارد. وهذا يسمح لموقع ويب عام ضار باستخدام هجوم إعادة ربط DNS — وهي تقنية يتم فيها إعادة توجيه اسم النطاق إلى عنوان IP مختلف بعد التحليل الأولي لـ DNS — لإرسال طلبات مصادق عليها إلى خادم MCP على واجهة loopback أو واجهة الشبكة الخاصة للضحية. يمكن للمهاجم حصر الأدوات وتشغيلها، وقراءة الموارد، وإحداث آثار جانبية مثل كتابة الملفات أو تنفيذ أوامر shell. في `dynoxide`، تؤدي هذه المشكلة أيضًا إلى ثغرة CSRF (تزوير الطلبات عبر المواقع) عبر الأصول، حيث يمكن لصفحة ما إرسال طلبات إلى خادم محلي باستخدام `fetch` مع `mode: ’no-cors‘`، متجاوزةً فحص `Host` لأن رأس `Origin` يظل غير مفحوص. تشمل أدوات الكتابة المتأثرة في `dynoxide` كل من `put item()` و`update item()` و`delete item()` و`create table()` و`batch write item()`. **التوصيات** تحديث rmcp إلى الإصدار 1.4.0 أو أحدث. قم بتحديث dynoxide إلى الإصدار 0.9.13 أو أحدث. كحل مؤقت لـ rmcp، ضع خادم MCP خلف وكيل عكسي مُهيأ لرفض الطلبات ذات رؤوس `Host` غير المتوقعة وتجنب ربط الخادم بـ `0.0.0.0` بدون وجود مثل هذا الوكيل.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات MCP Java SDK الأقدم من 1.0.0 الوصف يحتوي MCP Java SDK على ثغرة أمنية تتعلق بإعادة ربط DNS. تتيح هذه الثغرة للمهاجم الوصول إلى خادم MCP محلي أو خاص بالشبكة عبر متصفح الضحية. ويمكن للمهاجم بعد ذلك إجراء أي استدعاء للأداة إلى الخادم كما لو كان وكيل ذكاء اصطناعي يعمل محليًّا. توجد هذه الثغرة الأمنية بسبب عدم إجراء أي تحقق من صحة رأس Origin، مما يشكل انتهاكًا لمواصفات بروتوكول سياق النموذج (MCP). وعندما لا يقوم خادم الويب الذي يقدم حركة مرور HTTP إلى خادم MCP بإجراء فحوصات CORS القياسية، يصبح من الممكن شن هجوم إعادة ربط DNS. التوصيات قم بالتحديث إلى الإصدار 1.0.0 أو أحدث. كحل بديل، قم بتشغيل خادم MCP خلف وكيل عكسي (reverse proxy) مُهيأ للتحقق بدقة من صحة رؤوس «Host» و«Origin». أو بدلاً من ذلك، استخدم إطار عمل يفرض بشكل أساسي التحقق الصارم من صحة CORS و«Origin».

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Wazuh (لم يتم تحديد الإصدارات المتأثرة) **الوصف** يحتوي البرنامج على ثغرة أمنية في عملية النقل ناتجة عن استخدام العلامة `-k` أو `--insecure` مع الأداة `curl`، مما يؤدي إلى تعطيل التحقق من صحة شهادات SSL/TLS. وهذا يسمح للمهاجمين الذين لديهم وصول إلى الشبكة بشن هجمات «الرجل في الوسط» (man-in-the-middle)، مما قد يؤدي إلى اعتراض وتعديل التبعيات أو الكود الذي يتم تنزيله أثناء عملية البناء. وقد يؤدي الاستغلال الناجح لهذه الثغرة إلى تنفيذ كود عن بُعد وتعريض سلسلة التوريد للخطر. المكون المعرض للخطر هو الأمر `curl` المستخدم ضمن نصوص التجهيز (provisioning scripts) وملفات Dockerfile. **التوصيات** في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** @nestjs/devtools-integration الإصدارات 0.2.0 وما دونها **الوصف** توجد ثغرة أمنية خطيرة تتعلق بتنفيذ التعليمات البرمجية عن بُعد (RCE) في الحزمة @nestjs/devtools-integration. عند تمكينه، يعرض الحزمة خادم HTTP محلي للتطوير مع نقطة نهاية API تستخدم تنفيذًا غير آمن لـ JavaScript في بيئة العزل (sandbox). وبسبب العزل غير الملائم وغياب الحماية عبر الأصول (cross-origin)، يمكن لموقع ويب ضار يزوره المطور أن ينفذ تعليمات برمجية عشوائية على جهازه المحلي. تقبل نقطة النهاية المعرضة للخطر، `/inspector/graph/interact`، مدخلات JSON تحتوي على حقل `code`، والذي يتم تنفيذه بعد ذلك في بيئة الحماية Node.js `vm.runInNewContext`. يشبه تنفيذ بيئة الحماية مكتبة `safe-eval` التي تم التخلي عنها، ويسمح بالتهرب بسهولة. لا يحتوي الخادم على تحقق مناسب من CORS/Origin، مما يسمح للمهاجمين بالالتفاف على الإجراءات الأمنية. **التوصيات** قم بالتحديث إلى الإصدار 0.2.1 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات arduino-esp32 الأقدم من 3.2.1 الوصف: تؤثر المشكلة على العديد من أمثلة التحديث عبر الهواء (OTA) وعلى تنفيذ HTTPUpdateServer في نواة arduino-esp32، مما يسمح للمهاجم بتحميل وتشغيل برامج ثابتة تعسفية بسبب عدم وجود حماية ضد تزوير الطلبات بين المواقع (CSRF) لعمليات تحميل البرامج الثابتة عبر طلبات POST. ويؤدي ذلك إلى تنفيذ التعليمات البرمجية عن بُعد (RCE). التوصيات: بالنسبة للإصدارات الأقدم من 3.2.1، قم بالتحديث إلى الإصدار 3.2.1 لحل المشكلة. كحل مؤقت، ضع في اعتبارك تعطيل ميزة التحديث عبر الهواء (OTA) حتى يتم تطبيق التصحيح. قم بتقييد الوصول إلى نقاط نهاية التحديث لتقليل مخاطر الاستغلال. تجنب استخدام تنفيذ HTTPUpdateServer حتى يتم حل المشكلة.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات ESPAsyncWebServer حتى الإصدار 3.7.8 بما في ذلك الوصف: توجد ثغرة أمنية تتعلق بحقن أحرف CRLF في بناء وإخراج رؤوس HTTP في ملف `AsyncWebHeader.cpp`. تسمح المدخلات غير المُعقمة للمهاجمين بحقن أحرف CR (`r`) أو LF (` `) في أسماء أو قيم الرؤوس، مما يؤدي إلى التلاعب التعسفي بالرؤوس أو الردود. وقد يتيح ذلك تنفيذ مجموعة واسعة من الهجمات. التوصيات: بالنسبة للإصدارات حتى الإصدار 3.7.8 بما في ذلك، قم بتطبيق التصحيح المتاح في طلب السحب (pull request) رقم 211، والذي من المقرر أن يكون جزءًا من الإصدار 3.7.9. كحل بديل مؤقت، ضع في اعتبارك تقييد الإدخال في ملف `AsyncWebHeader.cpp` لمنع حقن أحرف CR وLF حتى يتم تطبيق التصحيح.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات arduino-esp32 الأقدم من 3.3.0-RC1 و3.2.1 الوصف: تتعلق المشكلة بثغرة أمنية تُعرف باسم «تقسيم استجابة HTTP» (HTTP Response Splitting). تقبل الدالة `sendHeader` مدخلات عشوائية لاسم وقيمة رأس HTTP، وتقوم بدمجها في سطر رأس HTTP واحد وإرفاقه برؤوس استجابة HTTP الصادرة. لا يتم التحقق من صحة المعلمتين `name` أو `value` أو تنقيتهما قبل تضمينهما في استجابة HTTP. إذا تمكن المهاجم من التحكم في المدخلات الموجهة إلى `sendHeader`، فسيكون بإمكانه حقن أحرف إرجاع عربة (`r`) أو انتقال سطر (` `) في اسم الرأس أو قيمته. قد يتيح ذلك للمهاجم حقن رؤوس إضافية، أو التلاعب بهيكل استجابة HTTP، أو ربما حقن استجابة HTTP جديدة بالكامل، و/أو التسبب في تشويش الرؤوس أو شن هجمات أخرى على بروتوكول HTTP. التوصيات: بالنسبة للإصدارات الأقدم من 3.3.0-RC1، قم بالتحديث إلى الإصدار 3.3.0-RC1 أو أحدث. بالنسبة للإصدارات الأقدم من 3.2.1، قم بالتحديث إلى الإصدار 3.2.1 أو أحدث. كإجراء مؤقت للتغلب على هذه الثغرة، ضع في اعتبارك التحقق من صحة المدخلات الخاصة بوظيفة `sendHeader` وتنقيتها لمنع حقن أحرف ضارة.

**Name of the Vulnerable Software and Affected Versions** Pixee Java Code Security Toolkit versions <=1.1.1 **Description** The issue is related to a partial-path traversal bypass vulnerability in the `ZipSecurity#isBelowCurrentDirectory` function. This vulnerability allows attackers to "escape" into sibling paths, although it still protects against escaping into higher-level directories. For example, if the running path is /my/app/path, an attacker could navigate into /my/app/path-something-else. The vulnerability is patched in version 1.1.2. **Recommendations** For Pixee Java Code Security Toolkit versions <=1.1.1, update to version 1.1.2 to resolve the issue. As a temporary workaround, consider restricting the use of the `ZipSecurity#isBelowCurrentDirectory` function until a patch is applied.

**Name of the Vulnerable Software and Affected Versions** CC: Tweaked versions prior to 1.20.1-1.106.0 CC: Tweaked versions prior to 1.19.4-1.106.0 CC: Tweaked versions prior to 1.19.2-1.101.3 CC: Tweaked versions prior to 1.18.2-1.101.3 CC: Tweaked versions prior to 1.16.5-1.101.3 **Description** The issue affects CC: Tweaked, a mod for Minecraft, allowing any player to gain access to sensitive information exposed via metadata services API endpoints on cloud hosting providers like AWS, GCP, and Azure. This could potentially allow them to pivot or privilege escalate into the hosting provider. **Recommendations** For versions prior to 1.20.1-1.106.0, update to version 1.20.1-1.106.0 or later. For versions prior to 1.19.4-1.106.0, update to version 1.19.4-1.106.0 or later. For versions prior to 1.19.2-1.101.3, update to version 1.19.2-1.101.3 or later. For versions prior to 1.18.2-1.101.3, update to version 1.18.2-1.101.3 or later. For versions prior to 1.16.5-1.101.3, update to version 1.16.5-1.101.3 or later.

**Name of the Vulnerable Software and Affected Versions** OpenComputers versions 1.2.0 through 1.8.3 **Description** This issue affects OpenComputers with the Internet Card feature enabled, allowing players to gain access to sensitive information exposed via metadata services' API endpoints, such as those provided by cloud hosting providers like AWS, GCP, and Azure. The lack of proper filtering for IPv6 addresses enables broader access into the local IPv6 network, potentially allowing players to retrieve sensitive information from the private IPv4 address space and the whole IPv6 address space. **Recommendations** For OpenComputers versions 1.2.0 through 1.8.2, consider disabling the Internet Card feature completely as a temporary workaround. For OpenComputers version 1.8.3, update to the patched version for Minecraft 1.7.10 and 1.12.2. For OpenComputers versions 1.3.0 and above, use the `opencomputers.internet.whitelist` option to only allow connections to specified IP addresses and/or domains, or add entries to the `opencomputers.internet.blacklist` option to block unwanted connections.

**Name of the Vulnerable Software and Affected Versions** typed-rest-client versions 1.7.3 and earlier **Description** The typed-rest-client library is vulnerable to leaking authentication data to third parties. This occurs when a request is sent with `BasicCredentialHandler`, `BearerCredentialHandler`, or `PersonalAccessTokenCredentialHandler`, and the target host returns a redirection with a link to a second host. The next request will then use the credentials to authenticate with the second host by setting the `Authorization` header, which is not the expected behavior. The problem was fixed in version 1.8.0. **Recommendations** For typed-rest-client versions 1.7.3 and earlier, update to version 1.8.0 to resolve the issue. As a temporary workaround, consider disabling the use of `BasicCredentialHandler`, `BearerCredentialHandler`, and `PersonalAccessTokenCredentialHandler` until the update is applied. Restrict access to sensitive resources that may be exposed due to this vulnerability.

**Name of the Vulnerable Software and Affected Versions** HL7 FHIR Core Libraries versions prior to 5.6.106 **Description** The issue allows attackers to copy arbitrary files to certain directories via directory traversal, if an allowed directory name is a substring of the directory name chosen by the attacker. This is due to an incomplete fix for a previous issue. **Recommendations** For versions prior to 5.6.106, update to version 5.6.106 or later to resolve the issue. As a temporary workaround, consider restricting access to the package-decompression feature to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** jLEMS (affected versions not specified) **Description** A critical vulnerability was found in jLEMS, affecting the `unpackJar` function of the file `src/main/java/org/lemsml/jlems/io/util/JUtil.java`. This vulnerability leads to path traversal and can be exploited remotely. **Recommendations** To fix this issue, it is recommended to apply a patch with the name 8c224637d7d561076364a9e3c2c375daeaf463dc. As a temporary workaround, consider disabling the `unpackJar` function until a patch is available.

**Name of the Vulnerable Software and Affected Versions** MPXJ versions prior to 10.14.1 **Description** MPXJ is an open source library to read and write project plans from a variety of file formats and databases. On Unix-like operating systems, MPXJ's use of `File.createTempFile(..)` results in temporary files being created with the permissions `-rw-r--r--`. This means that any other user on the system can read the contents of this file. When MPXJ is reading a schedule file which requires the creation of a temporary file or directory, a knowledgeable local user could locate these transient files while they are in use and would then be able to read the schedule being processed by MPXJ. **Recommendations** For versions prior to 10.14.1, update to MPXJ version 10.14.1 or later to resolve the issue. As a temporary workaround for users unable to upgrade, set `java.io.tmpdir` to a directory to which only the user running the application has access to prevent other users from accessing these temporary files.

**Name of the Vulnerable Software and Affected Versions** pgjdbc versions prior to 4.5.0 **Description** The issue is related to the implementation of the `PreparedStatement.setText()` or `PreparedStatement.setBytea()` methods in the PgJDBC driver, which can lead to the creation of temporary files that are readable by other users on Unix-like systems. This is an information disclosure issue, where an attacker could potentially access sensitive information. The vulnerability is dependent on the version of the JDK being used. **Recommendations** For Java 1.7 and higher users, update to version 4.5.0 to fix the issue. For Java 1.6 and lower users, no patch is available, but specifying the `java.io.tmpdir` system environment variable to a directory exclusively owned by the executing user can mitigate this vulnerability.

**Name of the Vulnerable Software and Affected Versions** QTIWorks versions prior to 1.0-beta15 **Description** QTIWorks is a software suite for standards-based assessment delivery. The ZIP handling code does not sufficiently check the paths of files contained within ZIP files, allowing files to be inserted into other locations in the filesystem if they are writable by the process running the QTIWorks Engine. This could potentially allow anonymous users to change files in arbitrary locations in the filesystem. However, in normal QTIWorks Engine deployments, the impact is somewhat reduced because the default QTIWorks configuration does not enable the public demo functionality, so ZIP files can only be uploaded by users with "instructor" privileges. **Recommendations** For versions prior to 1.0-beta15, upgrade to version 1.0-beta15 to fix the issue. No database configuration changes are required when upgrading to this version. As a temporary workaround, consider restricting the upload of ZIP files to trusted users or disabling the ZIP upload functionality until the upgrade is applied.

**Name of the Vulnerable Software and Affected Versions** Knowage-Server versions 6.x through 7.4.21 Knowage-Server versions 8.0.0 through 8.0.8 Knowage-Server versions 8.1.0 is not affected, but versions prior to 8.1.0 are, so it is: Knowage-Server versions 6.x through 8.0.8 **Description** Knowage is an open source suite for modern business analytics alternative over big data systems. The software is vulnerable to cross-site scripting because the `XSSRequestWrapper::stripXSS` method can be bypassed. **Recommendations** For Knowage-Server versions 6.x through 7.4.21, update to version 7.4.22 or later. For Knowage-Server versions 8.0.0 through 8.0.8, update to version 8.0.9 or later. As a temporary workaround, consider disabling the `XSSRequestWrapper::stripXSS` method until a patch is available.