John Linhart

توجد ثغرة تحميل ملفات غير مقيدة في ميزة استيراد الحملات. عند معالجة أرشيف حملة، يقوم التطبيق بنسخ ملفات الأصول المرفقة إلى دليل وسائط متاح للعموم دون تقييد أسماء الملفات أو أنواعها. يمكن للمستخدم المصرح له بإنشاء استيرادات الحملات استغلال ذلك عبر واجهة المستخدم أو نقطة النهاية '/api/campaigns/import' لوضع ملفات عشوائية، بما في ذلك البرامج النصية التي تعمل على الخادم، في جذر الويب. لا تتطلب هذه العملية صلاحيات المسؤول. في خوادم الويب التي تدعم التكوين لكل دليل، مثل إعداد Apache الافتراضي في صورة Docker الرسمية لـ Mautic، يمكن أن يؤدي ذلك إلى تنفيذ رموز عن بُعد بصلاحيات مستخدم خادم الويب، مما يتيح الوصول إلى أسرار التطبيق والتكوينات وبيانات جهات الاتصال.

يحدث إعادة توجيه مفتوح في نقطة النهاية '/form/submit'. يقوم التطبيق بإعادة توجيه الزوار إلى عنوان عودة يتم توفيره أثناء الإرسال دون التحقق مما إذا كانت الوجهة هي مثيل Mautic أو مضيف موثوق. يمكن لمهاجم غير مصرح له استغلال ذلك لتوجيه المستخدمين من نطاق شرعي إلى مواقع خارجية، مثل صفحات التصيد الاحتيالي أو مواقع توزيع البرامج الضارة. يتطلب هذا قيام الضحية بإرسال نموذج أعده المهاجم.

توجد مشكلة في التحكم في الوصول في نقطة نهاية واجهة برمجة تطبيقات الإحصائيات الخاصة بـ Mautic وهي '/api/stats/{table}'. فشل النظام في فرض الأذونات على العديد من الجداول الداخلية، حيث لم يتم تطبيق القيود المخصصة للمسؤولين فقط، وظلت الجداول التي تفتقر إلى تعيين أذونات صريح قابلة للقراءة افتراضيًا. نتيجة لذلك، يمكن لأي مستخدم مصادق عليه لواجهة برمجة التطبيقات، بغض النظر عن دوره أو أذوناته، الوصول إلى بيانات حساسة. يتضمن ذلك سجل تدقيق التطبيق الذي يحتوي على إجراءات المستخدمين وتفاصيل التغييرات التي قد تكشف عن بيانات الاتصال الشخصية، وعناوين IP للزوار، وتفاصيل الموقع الجغرافي، وعناوين إعادة التوجيه المتتبعة مع تعيينات القنوات.

توجد ثغرة traversal path في واجهة برمجة تطبيقات الأصول (Asset API) الخاصة بـ Mautic. يمكن لمستخدم واجهة برمجة التطبيقات المصرح له بإنشاء الأصول تحديد مسار ملف غير مقيد بمجلد تحميل الأصول. يسمح هذا بتسجيل أي ملف يمكن لعملية خادم الويب قراءته كأصل في Mautic. عند نشر الأصل، يقوم رابط التنزيل العام بتقديم محتويات ذلك الملف دون مصادقة، مما يسمح باسترداد ملفات عشوائية من الخادم، بما في ذلك ملفات النظام وملفات التكوين التي تحتوي على مفاتيح سرية وكلمات مرور قاعدة البيانات وبيانات اعتماد SMTP.

توجد ثغرة من نوع Cross-Site Scripting (XSS) مخزنة في عرض تفاصيل جهة الاتصال. يتم عرض حقول جهات الاتصال المخصصة من نوع HTML بدون تنقية للمخرجات، مما يسمح للمستخدم أو التكامل بتخزين حمولة برمجية خبيثة من خلال تحرير جهة الاتصال، أو واجهة برمجة تطبيقات جهات الاتصال (API)، أو تقديم نماذج مرتبطة بالحقل. عندما يقوم مسؤول أو مستخدم آخر بفتح صفحة تفاصيل جهة الاتصال المتأثرة، يتم تنفيذ البرمجية في جلسة المتصفح النشطة الخاصة بهم. قد يؤدي ذلك إلى تنفيذ إجراءات إدارية غير مصرح بها، مثل إنشاء حسابات مسؤولين جدد، أو تغيير تكوينات النظام، أو الوصول إلى بيانات جهات الاتصال والحملات.

توجد ثغرة حقن SQL في نقطة نهاية واجهة برمجة تطبيقات بيانات أدوات لوحة التحكم '/api/data/{type}'. يحدث هذا لأن معاملات تصفية المخططات التي يقدمها العميل لا يتم التحقق من صحتها بشكل صحيح قبل استخدامها في استعلامات قاعدة البيانات التي تبني بيانات مخططات لوحة التحكم. يمكن للمستخدم المصرح له الذي يملك وصولاً إلى واجهة برمجة التطبيقات استغلال ذلك باستخدام تقنيات blind SQL injection—وهي تقنية تُستخدم لاسترداد البيانات من قاعدة البيانات عن طريق طرح أسئلة بصيغة صح أو خطأ—لقراءة بيانات عشوائية من قاعدة بيانات Mautic، بما في ذلك بيانات الاتصال وبيانات التسويق الأخرى وبيانات حسابات المستخدمين التي تحتوي على هاشات كلمات المرور. بالإضافة إلى ذلك، يمكن استخدام SQL المحقون لإبطاء استعلامات قاعدة البيانات، مما قد يؤثر بشكل محدود على التوافر. تعديل البيانات غير ممكن من خلال هذه الثغرة، ويتطلب الاستغلال تفعيل واجهة برمجة تطبيقات Mautic.

توجد ثغرة حقن SQL في واجهة إدارة Mautic عند نقطة النهاية '/s/ajax'. تحدث المشكلة لأن معامل الطلب المستخدم لتحديد حقل جهة الاتصال للبحث لا يتم التحقق من صحته بشكل صحيح قبل إدراجه في استعلام قاعدة البيانات. يمكن لأي مستخدم مصادق عليه، بغض النظر عن دوره أو الصلاحيات الممنوحة له، استغلال ذلك باستخدام تقنيات عمياء—مثل الطرق القائمة على القيم المنطقية أو الوقت—لتنفيذ استعلامات SQL عشوائية. يتيح ذلك للمهاجم قراءة معلومات حساسة من قاعدة البيانات، بما في ذلك حسابات المستخدمين، وعناوين البريد الإلكتروني، وتجزئات كلمات المرور، وبيانات جهات الاتصال، ومحتوى الحملات.

توجد مشكلة في إلغاء التسلسل غير الآمن، وتحديداً حقن كائنات PHP، أثناء معالجة عوامل تصفية القطاعات وخصائص الحقول المخصصة. تقوم بعض مسارات الكود بإلغاء تسلسل القيم المخزنة في قاعدة البيانات دون تقييد فئات PHP التي يمكن إنشاؤها، متجاوزةً بذلك مساعد إلغاء التسلسل الآمن الخاص بـ Mautic. يمكن للمهاجم الذي يتمتع بصلاحيات عالية أو القدرة على الكتابة في البيانات المخزنة المتأثرة حقن قيم متسلسلة مصممة خصيصاً. عندما يقوم Mautic بمعالجة هذه البيانات أثناء تقييم القطاعات، أو تصدير جهات الاتصال، أو طلبات API للحقول المخصصة، يتم إنشاء كائنات PHP عشوائية. وباستخدام سلاسل الأدوات (gadget chains)—وهي تسلسلات من قطع الكود الموجودة التي يمكن استغلالها لأغراض غير مقصودة—ضمن التبعيات، قد يؤدي ذلك إلى تنفيذ كود عشوائي على الخادم، أو الوصول غير المصرح به إلى بيانات جهات الاتصال أو تعديلها أو حذفها، وتعطيل الخدمة.

يحدث حقن للقوالب من جهة الخادم في صندوق رمال رندرة سمات Twig. إن صندوق الرمل، المصمم لتقييد قوالب السمات التي يرفعها المستخدمون، لا يفرض القيود بشكل كامل، مما يسمح لقالب مصمم خصيصاً بالهروب من صندوق الرمل. يمكن للمستخدم المصرح له الذي يمتلك صلاحية `core:themes:create` رفع سمة خبيثة تؤدي عند رندرتها إلى تنفيذ رمز عشوائي على الخادم بصلاحيات عملية خادم الويب. يسمح هذا بتنفيذ أوامر نظام التشغيل، وقراءة ملفات من جهة الخادم بما في ذلك ملفات التكوين وبيانات اعتماد قاعدة البيانات، وكتابة الملفات، والوصول إلى الخدمات الداخلية.

توجد ثغرة من نوع «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة في مكون «محدد المشروع». يفشل التطبيق في تنقية أسماء المشاريع التي يتم إرجاعها عبر AJAX قبل إدراجها في نموذج كائن المستند (DOM) كحقول خيارات. يمكن للمستخدم المصادق عليه الذي يمتلك أذونات إنشاء المشاريع تخزين حمولة نصية برمجية ضارة في اسم أحد المشاريع. وعندما يفتح مستخدم إداري محرر كيان يحتوي على أداة اختيار المشاريع، يتم تنفيذ النص البرمجي في جلسة متصفحه، مما قد يؤدي إلى اختطاف الجلسة، أو التنسيق غير المصرح به للحالة، أو الوصول غير المصرح به إلى بيانات المؤسسة.

يوجد ثغرة من نوع تزوير الطلبات من جانب الخادم (SSRF) في مكون Focus. ونظرًا لعدم كفاية عملية التحقق من صحة عناوين URL التي يقدمها المستخدم، يمكن للمستخدم المصادق عليه إرسال طلبات HTTP صادرة من خادم الاستضافة. وهذا يتيح إجراء استطلاع للشبكة الداخلية أو إجبار الخادم على إرسال طلبات إلى وجهات داخلية أو خارجية عشوائية. SSRF هو ثغرة تسمح للمهاجم باستغلال وظائف الخادم لقراءة الموارد الداخلية أو تحديثها.

توجد مشكلة تتعلق بحقن القوالب من جانب الخادم (SSTI) في محرك القوالب. تقوم المنصة بعرض قوالب Twig التي يتم تحميلها دون استخدام بيئة اختبار (sandbox) أو قيود صارمة على الوظائف. يمكن للمستخدمين المسجلين الذين يتمتعون بأذونات لإنشاء أو تحميل القوالب استغلال هذه الثغرة لتنفيذ تعليمات برمجية عشوائية على خادم الاستضافة (تنفيذ التعليمات البرمجية عن بُعد) أو الوصول إلى ملفات النظام والإعدادات المحظورة.

يوجد عيب في تجاوز المسار في ميزة استيراد الحملات. أثناء استخراج ملفات ZIP التي تم تحميلها، يسمح خطأ في التحقق من الصحة لمسارات الملفات بالخروج من الدلائل المؤقتة المخصصة. يمكن للمستخدم المصادق عليه الذي يتمتع بامتيازات `campaign:imports:create` كتابة ملفات PHP عشوائية في الدلائل الحساسة للنظام، مما قد يؤدي إلى الكتابة فوق مكونات التكوين الداخلية أو مكونات ذاكرة التخزين المؤقت. وقد يؤدي ذلك إلى تنفيذ التعليمات البرمجية عن بُعد (RCE)، وهي القدرة على تنفيذ أوامر عشوائية على جهاز بعيد، في سياق مستخدم خادم الويب.

توجد ثغرة في تجاوز التفويض في نقاط نهاية واجهة برمجة التطبيقات (API) الإصدار 2 (التي تستخدم منصة API Platform). لا يتم تطبيق الأدوار التي تم تكوينها بقيود نطاق المالك، مثل `viewown` أو `editown`، بشكل صحيح. وهذا يسمح لمستخدمي واجهة برمجة التطبيقات (API) المصادق عليهم ذوي الامتيازات المنخفضة بتجاوز ضوابط منطق الملكية للوصول إلى الموارد الخاصة بمستخدمين آخرين أو تعديلها، بما في ذلك التقارير وجهات الاتصال والشركات، وبالتالي تجاوز الحدود الهيكلية للمستأجرين والامتيازات.

توجد ثغرة من نوع «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة في مكون «المشاريع». عندما تعرض طرق عرض التفاصيل الإدارية للحملات أو رسائل البريد الإلكتروني أو النماذج علامات المشاريع والنوافذ المنبثقة، يتم عرض أسماء المشاريع التي يدخلها المستخدم دون معالجتها بشكل صحيح. يمكن للمستخدم المصادق عليه الذي يمتلك أذونات إنشاء المشاريع أو تعديلها إدخال أحمال نصوص برمجية ضارة. وعندما يمرر المسؤول مؤشر الفأرة فوق علامة مرتبطة بمشروع تم اختراقه، يتم تنفيذ النص البرمجي في جلسة متصفحه، مما قد يسمح للمهاجم بتنفيذ إجراءات إدارية أو تغيير تكوينات النظام أو سرقة البيانات الحساسة.

تتعلق المشكلة بالوصول غير المصرح به إلى معاينات الصفحات غير المنشورة في Mautic، والتي يمكن للمستخدمين غير المصادق عليهم الوصول إليها، ومن المحتمل أن يتم فهرستها بواسطة محركات البحث. وقد يؤدي ذلك إلى الكشف غير المقصود عن محتوى مسودات أو معلومات حساسة. كانت وظيفة معاينة الصفحات للمحتوى غير المنشور، والتي يمكن الوصول إليها عبر عناوين URL يمكن توقعها (على سبيل المثال، ”/page/preview/1“، ”/page/preview/2“)، تفتقر إلى إجراءات التحقق من التفويض المناسبة، مما سمح لأي مستخدم غير معتمد بمعاينة محتوى لم يُقصد نشره للجمهور بعد.

تتعلق المشكلة بثغرة في التفويض في تنفيذ ميزة «المصادقة الأساسية عبر HTTP» في Mautic، مما يسمح بالوصول غير المصرح به إلى البيانات الحساسة في التقارير. وعلى وجه التحديد، يوجد خلل في الترخيص غير الملائم في تنفيذ «تخويل واجهة برمجة التطبيقات (API)» في Mautic، مما يسمح لأي مستخدم تمت مصادقته بالوصول إلى جميع التقارير والبيانات المرتبطة بها عبر واجهة برمجة التطبيقات (API)، متجاوزًا ضوابط الوصول المقررة.

توجد مشكلة في تحديد مسار الملفات تسمح بتحميل الموارد إلى مجلدات غير مقصودة على الخادم. ويرجع ذلك إلى عدم تقييد مسار الملف بشكل كافٍ على دليل محدد، وتحديدًا في وظيفة تحميل الموارد. وهذا يسمح للمستخدمين بإرسال الملفات خارج الدليل المؤقت المقصود.

A stored XSS issue existed in the contact tracking and page hits report, allowing for potential malicious script execution.

The upgrade logic in Mautic's application update via an upgrade script is not properly shielded, potentially leading to a vulnerable situation. However, this issue is mitigated by the fact that Mautic must be installed in a specific way to be vulnerable.