K

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Apache CloudStack من 4.14.0.0 إلى 4.20.3.0 إصدارات Apache CloudStack من 4.21.0.0 إلى 4.22.1.0 **الوصف** يمكن للمستأجر المصادق عليه تنفيذ تزوير الطلب من جانب الخادم (SSRF) عن طريق تسجيل قالب يشير إلى ملف metalink ضار يحتوي على أهداف داخلية، مما يسمح لآلة افتراضية للتخزين الثانوي باسترداد هذه البيانات والاحتفاظ بها. بالإضافة إلى ذلك، يمكن للمستأجر الذي يتمتع بدور المستخدم الافتراضي تنفيذ التعليمات البرمجية عن بُعد (RCE) بصفته الجذر على مضيف برنامج KVM hypervisor. يحدث هذا عندما يقوم مستخدم بتسجيل قالب آلة افتراضية مع تعيين المتغير `directDownload` على القيمة «true» وعنوان URL يشير إلى ملف .metalink؛ حيث يقوم خادم الإدارة بجلب ملف XML وإرسال عملية التنزيل إلى وكيل KVM دون إعادة التحقق من صحة عناوين URL الداخلية مقابل قائمة المواقع المسموح بها. **التوصيات** بالنسبة للإصدارات من 4.14.0.0 إلى 4.20.3.0، قم بالترقية إلى الإصدار 4.20.3.1 أو أحدث. بالنسبة للإصدارات من 4.21.0.0 إلى 4.22.1.0، قم بالترقية إلى الإصدار 4.22.1.1 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Apache Storm الأقدم من 2.8.7 **الوصف** عند تمكين نقل TLS دون اشتراط مصادقة شهادة العميل، يقوم المكون الإضافي `TlsTransportPlugin` بتعيين هوية رئيسية احتياطية (CN=ANONYMOUS) في حالة عدم تقديم شهادة العميل أو فشل عملية التحقق. يحدث هذا لأن استثناء `SSLPeerUnverifiedException` يتم التقاطه وقمعه بدلاً من رفض الاتصال. يسمح سلوك «الفشل المفتوح» (fail-open) هذا للعملاء غير المصادق عليهم بإنشاء اتصال TLS والحصول على هوية رئيسية صالحة. إذا لم يقم المُصرح المُهيأ، مثل `SimpleACLAuthorizer`، برفض الوصول إلى CN=ANONYMOUS صراحةً، فقد يؤدي ذلك إلى وصول غير مصرح به إلى الخدمات. يتم تسجيل هذه الحالة فقط على مستوى التصحيح، مما يحد من إمكانية رؤيتها في بيئات الإنتاج. **التوصيات** قم بالتحديث إلى الإصدار 2.8.7. قم بتمكين المصادقة الإلزامية لشهادة العميل عن طريق تعيين `nimbus.thrift.tls.client.auth.required` إلى `true`. تأكد من أن قواعد التفويض ترفض صراحةً الوصول إلى CN=ANONYMOUS. راجع جميع تكوينات قائمة التحكم في الوصول (ACL) بحثًا عن سلوك السماح الافتراضي الضمني.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Apache Storm من 2.6.3 إلى 2.8.6 **الوصف** يحدث التحقق غير الصحيح من صحة الشهادات في Prometheus Reporter عند تمكين الإعداد `storm.daemon.metrics.reporter.plugin.prometheus.skip tls validation`. تستخدم فئة `PrometheusPreparableReporter` `INSECURE TRUST MANAGER` الذي يقبل جميع شهادات SSL دون التحقق من صحتها عبر طريقتي `checkClientTrusted` و`checkServerTrusted` الفارغتين. عندما يكون الإعداد المذكور أعلاه نشطًا، يقوم `INSECURE CONNECTION FACTORY` بتنفيذ `SSLContext.setDefault(sslContext)`، مما يؤدي إلى استبدال سياق SSL الافتراضي لآلة Java الافتراضية (JVM) بأكملها بدلاً من قصر السياق غير الآمن على اتصال Prometheus. ونتيجة لذلك، فإن جميع اتصالات HTTPS داخل العملية، بما في ذلك اتصالات ZooKeeper وThrift وNetty وواجهة المستخدم (UI)، تثق في جميع الشهادات، بما في ذلك الشهادات الموقعة ذاتيًا أو تلك التي أنشأها المهاجمون، مما يسمح باعتراض «الرجل في الوسط» لبيانات اعتماد الإدارة، وعمليات إرسال التوبولوجيا، وحالة الكتلة، وبيانات التوبول. **التوصيات** قم بالترقية إلى الإصدار 2.8.7. قم بإزالة الإعداد `storm.daemon.metrics.reporter.plugin.prometheus.skip tls validation: true` من ملف التكوين `storm.yaml` وقم بتكوين مخزن ثقة مناسب يحتوي على شهادة PushGateway.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Apache Storm الأقدم من 2.8.6 **الوصف** يقوم مكون التصور في واجهة مستخدم Storm بإدراج بيانات التعريف الخاصة بالطوبولوجيا، مثل معرّفات المكونات وأسماء التدفقات وقيم التجميع، مباشرةً في HTML عبر innerHTML في الدالتين `parseNode()` و`parseEdge()` دون إجراء أي تنقية. يمكن للمستخدم المصادق عليه الذي يتمتع بحقوق إرسال التوبولوجيا إنشاء توبولوجيا تحتوي على HTML أو JavaScript ضار في معرّفات المكونات. يتم نقل هذه الحمولة عبر Nimbus و Thrift وواجهة برمجة تطبيقات التصور (Visualization API) إلى عرض تلميح أداة vis.js، مما يؤدي إلى تنفيذ برمجة نصية عبر المواقع المخزنة. في عمليات النشر متعددة المستأجرين، قد يؤدي ذلك إلى تصعيد الامتيازات إذا تم الوصول إلى واجهة المستخدم من قبل المشغلين أو المسؤولين. **التوصيات** قم بالترقية إلى الإصدار 2.8.6. كحل مؤقت، قم بتعديل الدالتين `parseNode()` و`parseEdge()` في ملف JavaScript الخاص بالتصور لتشفير جميع القيم المقدمة من واجهة برمجة التطبيقات (API) برموز HTML، بما في ذلك `nodeId` و`:capacity` و`:latency` و`:component` و`:stream` و`:grouping` قبل إدراجها في سلاسل HTML الخاصة بنصوص تلميحات الأدوات. قم بتقييد إرسال التوبولوجيا على المستخدمين الموثوق بهم عبر قوائم التحكم في الوصول (ACLs) في Nimbus كإجراء دفاعي متعدد المستويات.

**Name of the Vulnerable Software and Affected Versions** Vue (affected versions not specified) **Description** The issue is related to an improper regular expression in Vue's `parseHTML` function, which can lead to a potential regular expression denial of service vulnerability. This flaw, known as a ReDoS (Regular expression Denial of Service), allows attackers to slow down the application by providing specially crafted input that causes inefficient processing of regular expressions, leading to excessive resource consumption. In a Vue client-side application, this vulnerability can be exploited by creating a new Vue instance with a template string that includes a `<script>` tag but closes it incorrectly. The time taken to parse and mount the Vue application increases significantly due to the ReDoS vulnerability, demonstrating how the flaw can affect performance. **Recommendations** To mitigate this issue, consider disabling the `parseHTML` function in the `html-parser.ts` file until a patch is available. Restrict access to the `html-parser.ts` file to minimize the risk of exploitation. Avoid using the `parseHTML` function with untrusted input until the issue is resolved. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Bootstrap (affected versions not specified) **Description** A vulnerability has been identified in Bootstrap that exposes users to Cross-Site Scripting (XSS) attacks. The issue is present in the carousel component, where the `data-slide` and `data-slide-to` attributes can be exploited through the `href` attribute of an <a> tag due to inadequate sanitization. This could potentially enable attackers to execute arbitrary JavaScript within the victim's browser. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** bootstrap (affected versions not specified) **Description** A security issue has been discovered that could enable Cross-Site Scripting (XSS) attacks. The issue is associated with the `data-loading-text` attribute within the button plugin. This can be exploited by injecting malicious JavaScript code into the attribute, which would then be executed when the button's loading state is triggered. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Bootstrap (affected versions not specified) **Description** A vulnerability has been identified in Bootstrap that exposes users to Cross-Site Scripting (XSS) attacks. The issue is present in the carousel component, where the `data-slide` and `data-slide-to` attributes can be exploited through the href attribute of an `<a>` tag due to inadequate sanitization. This could potentially enable attackers to execute arbitrary JavaScript within the victim's browser. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Calendar01 version 1.0.0 Calendar02 version 1.0.0 PKOBO-News01 versions 1.0.3 and earlier PKOBO-vote01 versions 1.0.1 and earlier Telop01 version 1.0.0 Gallery01 versions 1.0.3 and earlier CalendarForm01 versions 1.0.3 and earlier Link01 version 1.0.0 **Description** The issue allows remote attackers to bypass authentication and log in to the product with administrative privileges. The exact vectors used for the attack are not specified. **Recommendations** For Calendar01 version 1.0.0, update to a version that addresses the authentication bypass issue. For Calendar02 version 1.0.0, update to a version that addresses the authentication bypass issue. For PKOBO-News01 versions 1.0.3 and earlier, update to a version later than 1.0.3. For PKOBO-vote01 versions 1.0.1 and earlier, update to a version later than 1.0.1. For Telop01 version 1.0.0, update to a version that addresses the authentication bypass issue. For Gallery01 versions 1.0.3 and earlier, update to a version later than 1.0.3. For CalendarForm01 versions 1.0.3 and earlier, update to a version later than 1.0.3. For Link01 version 1.0.0, update to a version that addresses the authentication bypass issue.