Johnatzeropath

يوجد ثغرة لتجاوز عملية المصادقة في معالج Socket.IO الخاص بـ `ydoc:document:join`. لا يقوم المعالج بإجراء فحوصات الملكية إلا عندما يبدأ المتغير `document id` بالبادئة `note:` (نقطتان). ومع ذلك، تقوم طبقة التخزين `YdocManager` بتوحيد جميع معرّفات المستندات عن طريق استبدال الفاصلة المنقوطة بعلامات التسطير. يمكن للمهاجم تجاوز فحص التفويض عن طريق طلب مستند باستخدام `note <id>` (علامة التسطير) بدلاً من `note:<id>` (فاصلة منقوطة)، مما يسمح له بالوصول إلى نفس مستند Yjs الأساسي. يؤدي هذا إلى قيام الخادم بإرجاع حالة المستند الكاملة وتسريب محتويات الملاحظات الخاصة للمستخدمين الآخرين.

لم تتطلب نقطة نهاية WebSocket `/cdp` الخاصة بـ Browser Relay أي مصادقة، مما سمح للمواقع بالاتصال عبر loopback والوصول إلى البيانات الحساسة. يمكن للمهاجمين الاتصال بـ `ws://127.0.0.1:18792/cdp` لسرقة ملفات تعريف الارتباط الخاصة بالجلسة وتشغيل JavaScript في علامات تبويب أخرى بالمتصفح. يجب أن يكون الملحق Browser Relay مثبتًا ونشطًا لدى المستخدمين، كما يجب عليهم زيارة موقع غير موثوق به حتى يحدث الاستغلال. يعرض المكون المعرض للخطر نقطة نهاية WebSocket محلية لتوجيه رسائل بروتوكول Chrome DevTools (CDP). كان مسار الترقية `/cdp` يتحقق مما إذا كان نظير TCP عبارة عن حلقة مرتدة، لكنه لم يكن يتطلب سرًا مشتركًا ولم يكن يحظر الطلبات عبر الأصول التي يطلقها المتصفح.