Jvr2022

يقوم الخادم المحلي بتعريض نقطة نهاية أحداث الخادم المرسلة "/events" بدون مصادقة حامل (bearer authentication) ويسمح بالوصول عبر المتصفح من مصادر خارجية. يعتمد النظام فقط على `client id` المقدم من المستدعي لاختيار كائنات WebChannelEvent من ناقل الأحداث على مستوى العملية. نظرًا لأن معرف النظام ثابت، فإن تدفق الرسائل الاستباقية يصبح قابلًا للتنبؤ، مما يسمح لعميل محلي غير مصرح له أو صفحة ويب خبيثة بالاشتراك في تدفق عميل آخر عن طريق تخمين أو معرفة المعرف. يمكن أن يؤدي ذلك إلى كشف استجابات المساعد، ومحتوى الرسائل المتدفقة، وأسماء الأدوات، ووسائط الأدوات، ومخرجات الأدوات الخام.

يفتقر نقطة نهاية WebSocket المحلية '/ws/dictation' إلى مصادقة العميل والتحقق من أصل المتصفح. يسمح هذا لعميل غير مصرح له، مثل صفحة ويب خبيثة، بإرسال ملفات صوتية وتحفيز معالجة تحويل الكلام إلى نص التي تستهلك موارد مكثفة. في الإصدارات الأقدم، يتم تجميع الصوت في ذاكرة مؤقتة غير محدودة، مما قد يؤدي إلى استنفاد ذاكرة العملية من خلال البث المستمر. يمكن أن تؤدي هذه العوامل إلى تدهور الأداء، أو استنفاد الموارد، أو تعطل التطبيق.

يستخدم الأمر `image to GIF` مساعد طلب يقوم بالتحقق من عناوين IP العامة لاسم المضيف، ولكنه يرسل الطلب لاحقاً باستخدام اسم المضيف، مما يؤدي إلى `عملية بحث DNS ثانية`. يسمح هذا للمهاجم الذي يتحكم في نطاق بتجاوز حماية العناوين الداخلية من خلال `DNS rebinding` (وهي تقنية يقوم فيها اسم النطاق بالتحويل إلى عناوين IP مختلفة خلال استعلامات DNS متتالية) عن طريق إرجاع عنوان عام أثناء التحقق وعنوان داخلي أثناء الاتصال. يقبل الأمر العناوين مباشرة من إدخال المستخدم ومتاح لأي عضو في الخادم. تقتصر الطلبات على `HTTPS على المنفذ 443` ويتم إرجاع المحتوى فقط عندما تكون الاستجابة `صورة حقيقية` ، مما يحد من التأثير إلى السبر الداخلي الأعمى واسترجاع محدود لاستجابات الصور من نقاط النهاية المحلية أو الداخلية.

بشكل افتراضي، يفشل المكون الإضافي `@better-auth/scim` في ربط مزودي SCIM غير التابعين لمنظمة (الشخصيين) بمنشئهم. يحدث هذا لأن الخيار `providerOwnership` والعمود `scimProvider.userId` معطلان بشكل افتراضي، مما يسمح بتمرير فحص الوصول في حالة عدم وجود معرّف مالك. ونتيجة لذلك، يمكن لأي مستخدم تمت مصادقته إدارة مزودي المستخدمين الآخرين الشخصيين، بما في ذلك قراءة البيانات الوصفية، وإدراج الاتصالات، وحذف الاتصالات. التأثير الأكثر خطورة هو القدرة على إعادة إنشاء رموز SCIM الحاملة عبر نقطة النهاية `/scim/generate-token` باستخدام المتغير `providerId`. يؤدي هذا الإجراء إلى إبطال صلاحية رمز المستخدم الشرعي ويمنح المهاجم رمزًا صالحًا للمصادقة على مسارات واجهة برمجة تطبيقات SCIM، مثل `/scim/v2/Users`، وإدارة المستخدمين الذين تم توفيرهم عبر SCIM.

يحدث تجاوز للتفويض لأن البرنامج يقوم بفك تشفير الشرطة المائلة المشفرة %2F ضمن قيم معلمات المسار قبل مطابقة مسارات البرامج الوسيطة، في حين أن جهاز التوجيه الأساسي يحافظ على هذا التشفير أثناء البحث عن المسار. يسمح هذا التباين لطلب ما بتجاوز البرامج الوسيطة المستخدمة للمصادقة أو التفويض أو تحديد معدل الاستخدام أو التدقيق على المسارات المعلمة، مما يمكّن المهاجم من الوصول إلى معالج محمي باستخدام عنوان URL مُصمم خصيصًا يحتوي على شرطة مائلة مشفرة في موضع المعلمة. هذه المشكلة لا تعتمد على طريقة HTTP ولا تتطلب أي مصادقة أو شروط مسبقة خاصة.

توجد مشكلة في عملية توحيد عناوين URL وفك تشفيرها في المحرك المستقل، حيث لا يتم حماية التسلسلات المشفرة بنسبة مئوية ذات التنسيق الخاطئ في مسارات الطلبات الواردة بشكل صحيح. وعلى وجه التحديد، تتسبب المدخلات مثل التسلسلات متعددة البايتات المقطوعة أو رموز الهروب المئوية غير المكتملة في قيام وحدة فك التشفير الأساسية بإلقاء استثناء متزامن. يتجاوز هذا الاستثناء خطوة التوحيد ويؤدي إلى إنهاء عملية Node.js، مما ينتج عنه رفض الخدمة لجميع العملاء المتصلين. يؤثر هذا على التطبيقات التي تستدعي الدالة `middie.run()` مباشرةً عبر واجهة برمجة تطبيقات المحرك المستقل. لا تتأثر التطبيقات التي تستخدم مسار المكون الإضافي Fastify لأن معالج أخطاء إطار العمل يلتقط هذا الاستثناء.

يوجد عيب في تحديد نطاق البرامج الوسيطة، حيث لا يتم تطبيق بادئات المكونات الإضافية على مسارات تثبيت البرامج الوسيطة عندما يتم توفير مسار التثبيت على شكل مصفوفة أو تعبير عادي. يحدث هذا بسبب المعالجة غير الصحيحة للمدخلات أثناء توحيد البادئات والمسارات، مما يؤدي إلى تسجيل البرمجيات الوسيطة بدون البادئة داخل نطاقات المكونات الإضافية ذات البادئات. يمكن للمهاجم تجاوز الضوابط الأمنية مثل المصادقة أو التفويض أو تحديد معدل الاستخدام أو التدقيق عن طريق إرسال طلبات إلى المسارات ضمن مكون إضافي ذي بادئة حيث تم تثبيت البرمجيات الوسيطة باستخدام مسارات غير نصية. يستمر Fastify في مطابقة المسار، ولكن يتم تخطي البرمجيات الوسيطة المرتبطة به.

عدم تطبيق حدود قصوى صارمة بشكل كافٍ على إجمالي البيانات غير المضغوطة، أو عدد العناصر، أو نسبة فك الضغط ضمن مسارات الاستخراج والتحليل، مثل `src/extract.ts`، مما يسمح لـ «قنبلة gzip» مصممة خصيصًا باستنفاد موارد وحدة المعالجة المركزية (CPU) ومساحة القرص. «قنبلة gzip» هي أرشيف مضغوط للغاية يتوسع إلى حجم هائل عند فك ضغطه، مما يؤدي إلى رفض الخدمة.

تقبل الدالة `tar.replace` رأس ملف tar صالحًا من حيث المجموع الاختباري، ولكنه يحتوي على حجم إدخال سالب مُشفَّر بنظام قاعدة 256. يؤدي ذلك إلى دخول ماسح الأرشيف في حلقة مفرغة، حيث يقوم بتحليل نفس الرأس مرارًا وتكرارًا دون إحراز أي تقدم.

توجد مشكلة تتمثل في فشل البرنامج في التحقق من صحة معلمة الحالة OAuth مقابل الرقم العشوائي (nonce) المخزن عند استخدام تخزين الحالة المدعوم بملفات تعريف الارتباط دون استخدام PKCE (مفتاح الإثبات لتبادل الكود). في دالة `parseGenericState`، قام فرع ملفات تعريف الارتباط بفك تشفير ملف تعريف الارتباط `oauth state` والتحقق من صلاحيته، لكنه لم يقارن معلمة الاستعلام `state` الواردة من OAuth بقيمة nonce التي تم إصدارها عند تسجيل الدخول. وهذا يسمح للمهاجمين بتزوير معلمة `state` وتقديم رمز تفويض يتحكم فيه المهاجم إلى نقطة النهاية `/api/auth/oauth2/callback/<providerId>`. ويمكن أن يؤدي ذلك إلى «تسجيل الدخول القسري» (CSRF في استدعاء OAuth)، حيث يتم وضع متصفح الضحية في جلسة عمل مرتبطة بالهوية الخارجية للمهاجم، أو «ربط الحساب الدائم»، حيث يتم ربط الحساب الخارجي للمهاجم بملف تعريف الضحية الذي تمت مصادقته.

يتطابق مرشح المصادقة الذي تم إنشاؤه مع قوالب مسارات OpenAPI بشكل واسع جدًا عند تحديد ما إذا كان يجب إرفاق بيانات الاعتماد أم لا. تقارن طبقة المصادقة في وقت التشغيل مسار الطلب الصادر وطريقته مع عمليات OpenAPI المحمية، ولكنها تعامل العناصر النائبة `{param}` على أنها `.*`، مما يسمح بشكل غير صحيح لمعلمة مسار واحدة باستخدام الشرطة المائلة (`/`). ونتيجة لذلك، قد يتم تطبيق نظام أمان تم تكوينه لعملية ما على عملية مختلفة من نفس الطريقة إذا كان المسار يشبه جزئيًا القالب المحمي. قد يؤدي ذلك إلى إرسال الرموز المميزة للحامل أو مفاتيح واجهة برمجة التطبيقات (API) أو بيانات الاعتماد الأساسية إلى نقاط نهاية غير مقصودة، مما قد يؤدي إلى الكشف عن معلومات حساسة لمسارات ذات مستوى ثقة أقل على نفس الخدمة.

عند تمكين `safeMode`، يتم إخفاء المشاركات غير المعتمدة في المنتدى عن القائمة العامة. ومع ذلك، لا يزال الإجراء المباشر لقراءة المشاركة يعرض المشاركة كاملة لأي مستخدم يمتلك معرّف UUID الخاص بالمشاركة.

يسمح البرنامج بتسلسل محتوى التعليقات التي يتحكم فيها المهاجم إلى XML دون التحقق من صحة تسلسلات كسر التعليقات أو تحييدها. يحدث هذا أثناء بناء DOM وتدفق التسلسل لعقد التعليقات عند استدعاء الدالة `createComment()`؛ حيث يتم تخزين السلسلة المقدمة كما هي ثم يتم ربطها لاحقًا بمحددات تعليقات XML أثناء التسلسل. ونظرًا لأن تعليقات XML حساسة من حيث بناء الجملة، يمكن للمهاجم تقديم مدخلات تحتوي على تسلسل يغلق التعليق، مما يسمح له بإنهاء التعليق مبكرًا وحقن عقد XML عشوائية في المخرجات المسلسلة. وقد يمكّن هذا المهاجم من تغيير معنى وبنية مستندات XML التي تم إنشاؤها، مما يؤثر على سير العمل الذي يقوم بتخزين أو إعادة توجيه أو توقيع أو تحليل XML الناتج، مثل مستندات التكوين أو السياسات.

تعمل سبع عمليات تصفح متكررة في ملف `lib/dom.js` دون حد أقصى للعمق. عند معالجة شجرة DOM متداخلة بعمق كافٍ، يتم استنفاد مكدس استدعاءات JavaScript، مما يؤدي إلى ظهور خطأ `RangeError: تجاوز الحد الأقصى لحجم مكدس الاستدعاءات` وتعطل التطبيق. وقد يؤدي ذلك إلى حدوث هجوم رفض الخدمة (DoS) إذا قبلت الخدمة ملف XML يتحكم فيه المهاجم وقامت بأي من العمليات المتأثرة. تشمل الوظائف ونقاط الدخول المتأثرة ما يلي - `Node.prototype.normalize()` - `XMLSerializer.serializeToString()` - `Element.getElementsByTagName()`، و`getElementsByTagNameNS()`، و`getElementsByClassName()`، و`getElementById()` (عبر الدالة ` visitNode`) - `Node.cloneNode(true)` - `Document.importNode(node, true)` - `node.textContent` (الوصول) - `Node.isEqualNode(other)`

تقبل الدالة `downloadPackageManager()` سلسلة `version` غير موثوق بها وتستخدمها مباشرةً في مسارات نظام الملفات. وهذا يسمح للمستدعي باستخدام مسارات مطلقة أو أجزاء `../` للهروب من جذر ذاكرة التخزين المؤقت `VP HOME/package manager/<pm>/`، مما يتيح حذف الدلائل واستبدالها وملؤها خارج موقع ذاكرة التخزين المؤقت المقصود.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات PolarLearn السابقة لـ 0-PRERELEASE-15 الوصف PolarLearn هو برنامج تعليمي يعاني من مشكلة تتعلق بتصعيد الصلاحيات. سمح فحص إداري معكوس في وحدة «account-management» للمستخدمين غير الإداريين المصادق عليهم بتنفيذ الإجراءات «setCustomPassword(userId, password)» و«deleteUser(userId)»، في حين تم حظر الإداريين الشرعيين. تنبع المشكلة من عبارة شرطية غير صحيحة تعكس منطق التحكم في الوصول المقصود. التوصيات التحديث إلى الإصدار 0-PRERELEASE-15 أو أحدث.

اسم البرنامج المعرض للثغرة والإصدارات المتأثرة إصدارات PolarLearn 0-PRERELEASE-15 والإصدارات الأقدم الوصف يقوم البرنامج بإنشاء جلسة عمل صالحة للحسابات المحظورة قبل التحقق من كلمة المرور المقدمة عبر نقطة نهاية واجهة برمجة التطبيقات (API) `/api/v1/auth/sign-in`. ثم يتم قبول هذه الجلسة عبر مسارات واجهة برمجة التطبيقات (API) التي تتطلب المصادقة، مما يسمح بالوصول إلى بيانات الحساب والقيام بالإجراءات التي تتطلب المصادقة بصفتك المستخدم المحظور. المعلمة المعرضة للثغرة هي `password`. التوصيات التحديث إلى إصدار أحدث من 0-PRERELEASE-15.

تسمح ثغرة في منطق عملية الاستخراج للمهاجم بإنشاء رابط ثابت (hardlink) يشير إلى خارج دليل الاستخراج المقصود. ومن خلال استخدام هدف رابط نسبي لمحرك الأقراص، مثل `C:../target.txt`، يمكن خداع البرنامج لتجاوز قيود المسار. يحدث هذا لأن المنطق يتحقق من وجود مقاطع `..` قبل إزالة الجذور المطلقة، مما يسمح لـ `linkpath` بالخروج من دليل العمل الحالي (`cwd`) أثناء تنفيذ الدالة `tar.x()`. وينتج عن ذلك عملية كتابة فوق ملف عشوائي بأذونات العملية التي تقوم بالاستخراج، وهو أمر بالغ الأهمية بشكل خاص للخدمات التي تقوم بفك ضغط أرشيفات غير موثوق بها أو إنشاء مسارات معالجة تستهلك ملفات تابعة لجهات خارجية.

PolarLearn هو برنامج تعليمي مجاني ومفتوح المصدر. يمكن استخدام WebSocket الخاص بالدردشة الجماعية على `wss://polarlearn.nl/api/v1/ws` دون مصادقة. يمكن لأي عميل غير مصدق أن ينضم إلى أي دردشة جماعية عن طريق تقديم معرّف UUID الخاص بالمجموعة، وإرسال رسائل إلى أي مجموعة. ويقوم الخادم بقبول هذه الرسائل وتخزينها في `chatContent` الخاص بالمجموعة.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة @isaacs/brace-expansion الإصدارات الأقدم من 5.0.1 الوصف @isaacs/brace-expansion، وهو فرع هجين CJS/ESM في TypeScript من brace-expansion، معرض لمشكلة رفض الخدمة (DoS). ويحدث ذلك بسبب التوسيع غير المحدود لنطاقات الأقواس عند معالجة الأنماط التي تحتوي على نطاقات رقمية متكررة بين الأقواس. تحاول المكتبة إنشاء جميع التركيبات الممكنة بشكل متزامن، مما يؤدي إلى استهلاك مفرط لموارد وحدة المعالجة المركزية (CPU) والذاكرة، وقد يتسبب ذلك في تعطل عملية Node.js. التوصيات قم بتحديث @isaacs/brace-expansion إلى الإصدار 5.0.1 أو أحدث.