Jonchurch

The `escapeLogField()` function fails to escape the double quote character used to delimit quoted fields in the Apache combined log format. An unauthenticated remote attacker can exploit this by injecting a double quote into values written to quoted fields, such as the `User-Agent` or `Referer` headers. This allows the attacker to close a field prematurely, causing log consumers that parse by field position to interpret attacker-supplied text as subsequent fields. In built-in formats, this results in recorded values differing from the actual sent values, and in custom formats, it can be used to forge server-controlled values like the response status. Record separation remains intact as no newlines are injected.

An issue exists in the internal helper used to escape log token values. The software fails to neutralize Unicode line separator characters U+0085 (Next Line), U+2028 (Line Separator), and U+2029 (Paragraph Separator). An unauthenticated remote client can inject these characters into an attacker-controlled log token, such as a Basic auth username processed via the `remote-user` token. This allows for log forging, where Unicode-aware downstream log processing systems split a single request log into multiple logical records.

تتعرض إصدارات Lodash 4.17.23 والإصدارات الأقدم منها لخطر «تلوث النماذج الأولية» (prototype pollution) من خلال الدالتين ` .unset` و` .omit`. لم يعالج الإصلاح الأولي المشكلة بشكل كامل، حيث يمكن للمهاجم تجاوز الفحص باستخدام أجزاء مسار مغلفة بمصفوفة. وهذا يسمح بحذف الخصائص من النماذج الأولية المدمجة مثل Object.prototype و Number.prototype و String.prototype. تسمح هذه المشكلة بحذف خصائص النموذج الأولي ولكنها لا تسمح بالكتابة فوق سلوكها الأصلي.

يحتوي البرنامج على ثغرة تتعلق بتجميع القوالب. وعلى وجه التحديد، قد يؤدي عدم كفاية التحقق من صحة أسماء المفاتيح داخل الكائن `options.imports` الذي تستخدمه الدالة ` .template` إلى تمكين المهاجم من إدخال تعبيرات المعلمات الافتراضية، مما يؤدي إلى تنفيذ تعليمات برمجية عشوائية. تنشأ هذه المشكلة لأن عملية التحقق من صحة المتغير `option` لا تشمل أسماء مفاتيح `options.imports`. علاوة على ذلك، قد يؤدي استخدام `assignInWith` إلى ظهور ثغرات أمنية في حالة تعرض `Object.prototype` للاختراق، مما قد يؤدي إلى نسخ مفاتيح ملوثة إلى كائن الاستيرادات، وبالتالي تنفيذ تعليمات برمجية ضارة.