Kah-Ja

**اسم البرنامج المصاب والإصدارات المتأثرة** Wazuh الإصدارات من 4.1.0 إلى 4.14.7 **الوصف** يوجد نقص في التحقق من الأصل في الدالة `wm agent upgrade` مما يسمح للوكلاء المسجلين بإصدار أوامر `upgrade custom` باستخدام متغير `file path` الذي يتحكم فيه المهاجم. يتيح ذلك للمهاجمين حقن رسالة `upgrade custom` عبر قناة الوكيل لقراءة ملفات عشوائية بصلاحيات root، مما قد يؤدي إلى تسريب ملفات حساسة مثل `/etc/shadow` و `client.keys`. **التوصيات** التحديث إلى الإصدار 4.14.8 أو إصدار أحدث.

**Name of the Vulnerable Software and Affected Versions** Plane versions prior to 1.4.0 **Description** An issue exists where the `IntakeIssuePublicViewSet.create` function writes `description html` via `Issue.objects.create()` without utilizing the `validate html content` function from the nh3 library. This allows any authenticated user, including those without workspace memberships, to inject arbitrary HTML into projects with a published DeployBoard and enabled intake. When a project member or viewer interacts with a closed intake item by clicking a planted link, a parser bypass in TipTap involving `javascript:` and a `target=" self"` click handler executes JavaScript within the viewer's session to exfiltrate a long-lived API token. **Recommendations** Update to version 1.4.0.

**Name of the Vulnerable Software and Affected Versions** Ghost versions 5.81.0 through 6.59.0 **Description** Staff members assigned the Author role can delete posts and pages that they did not create. **Recommendations** Update to version 6.60.0.

**Name of the Vulnerable Software and Affected Versions** Twenty versions 1.20.10 through 2.6.9 **Description** An issue in the GraphQL `/metadata` endpoint allows the `connectedAccounts` query to return `connectionParameters` from `ConnectedAccountDTO` for all connected accounts within a workspace. This occurs because the field is not hidden and the lookup process fails to enforce the identity of the calling user or account visibility. Consequently, a standard workspace member can obtain plaintext IMAP, SMTP, and CalDAV passwords of other members, potentially allowing unauthorized access to emails, calendars, and the ability to reset third-party accounts. Workspaces using only Google and Microsoft OAuth are not affected. **Recommendations** Update to version 2.7.0.

**Name of the Vulnerable Software and Affected Versions** Ghost versions 0.5.3 through 6.49.9 **Description** Insufficient sanitization of data within the JSON-LD HTML tag emitted by the `{{ghost head}}` helper allows an authenticated user with limited privileges to inject unescaped content. This content is rendered as a script on the published page, which could lead to the compromise of a staff user's admin session upon viewing the affected page. **Recommendations** Update Ghost to version 6.50.0 or later.

**Name of the Vulnerable Software and Affected Versions** Paella Player versions prior to 2.12.11 Opencast versions prior to 19.7 Opencast versions prior to 20.2 **Description** An issue exists where the player renders caption cue text into `innerHTML` without proper escaping. This allows a user with content authoring permissions to upload a subtitle file (such as WebVTT or DFXP) containing malicious HTML or JavaScript. When a viewer enables captions for the affected event, the script executes within the Opencast origin in the viewer's browser session. This affects anonymous viewers as well as authenticated staff, potentially leading to session theft, CSRF-token theft, and unauthorized actions against the Opencast REST API. The issue is triggered when the player processes caption tracks served via the `/search/episode.json` endpoint. The vulnerable behavior occurs because the caption plugins, enabled by default, append the cue text directly to the ` captionsContainer.innerHTML` sink without sanitization. **Recommendations** Update Paella Player to version 2.12.11 or later. Update Opencast to version 19.7 or later. Update Opencast to version 20.2 or later. As a temporary mitigation, disable the WebVTT and DFXP caption plugins in the player configuration.

**Name of the Vulnerable Software and Affected Versions** TS3 Manager versions prior to 2.2.6 **Description** The `/api/download` endpoint in `packages/server/routes/api.js` improperly handles the `port` query parameter, passing it to the `socket.connect(port, host)` function and returning the resulting error message as text/html without a Content Security Policy. This allows a reflected value to execute in the manager origin when a logged-in operator follows a crafted link. Additionally, the token cookie in `packages/ui/src/store/modules/query.js` lacks HttpOnly, Secure, and SameSite attributes, enabling a script to read the token and trigger the `autofillform()` event in `packages/server/socket.js`. This event returns a decoded JSON Web Token (JWT), which may contain the cleartext ServerQuery password, potentially leading to operator-session hijacking and full control of the managed TeamSpeak server if administrative credentials are used. A valid operator session and user interaction are required for exploitation. **Recommendations** Update to version 2.2.6.

**Name of the Vulnerable Software and Affected Versions** Chamilo LMS versions 2.0.0 through 2.1.0 **Description** Chamilo LMS stores private `Message.content` without server-side sanitization and renders it as HTML in assets/vue/views/message/MessageShow.vue and public/main/template/default/message/view message.html.twig. An authenticated low-privilege user, such as a student, can send crafted message content to an administrator. The content executes in the recipient's browser upon opening the inbox or message view, which can expose session credentials or allow actions to be performed as the administrator. **Recommendations** Update Chamilo LMS to version 2.0.1.

**Name of the Vulnerable Software and Affected Versions** Trilium versions prior to 0.104.0 **Description** The automatic image-download feature fails to validate paths when processing `file://` URLs within `img` tags of a note. This allows an authenticated user to disclose arbitrary files readable by the process by saving a text note with a source like `file:///etc/passwd`, which the system then stores as a note attachment. Additionally, targeting an unbounded source such as `/dev/zero` can lead to uncontrolled memory allocation, resulting in a server process crash. This functionality is enabled by default and accessible via the web UI, the ETAPI, the web clipper, and note imports, requiring an authenticated session or an ETAPI token. **Recommendations** Update to version 0.104.0.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Adminer من 5.3.0 إلى 5.4.2 **الوصف** توجد مشكلة في كتابة الملفات بشكل تعسفي عند تمكين المكون الإضافي sql-log. يمكن للمستخدم المصادق عليه استخدام تسلسلات اجتياز المسار — وهي تقنية تُستخدم للوصول إلى الملفات والدلائل خارج المجلد المقصود — عبر المعلمة `ns` في نقطة النهاية ’plugins/sql-log.php‘ لكتابة ملفات .sql تعسفية ذات محتوى خاضع للسيطرة إلى أي دليل قابل للكتابة على المضيف. **التوصيات** قم بتحديث Adminer إلى إصدار أحدث من 5.4.2. كإجراء تخفيفي مؤقت، قم بتعطيل المكون الإضافي sql-log أو قم بتقييد الوصول إلى المعلمة `ns` في نقطة النهاية ’plugins/sql-log.php‘.

**Name of the Vulnerable Software and Affected Versions** Typebot versions prior to 3.18.0 **Description** Self-hosted installations using default passwordless email magic-link authentication are susceptible to login-code brute forcing, which can lead to account takeover. The system replaces the standard cryptographically secure token with a 6-digit code generated via `Math.random()`, limiting the keyspace to 900,000 possibilities with a 10-minute expiration. The verification callback lacks attempt limits, lockout mechanisms, and CSRF (Cross-Site Request Forgery) protection. Furthermore, incorrect guesses do not invalidate the actual code. The existing rate limiter for sending codes relies on the `X-Forwarded-For` header, which is client-controlled, allowing an attacker to request multiple concurrent codes for a single victim to increase the probability of a successful guess. An attacker knowing a victim's email can gain an authenticated session and full access to bots, results, and integration credentials without user interaction. Deployments using only OAuth or SSO are not affected. **Recommendations** Update to version 3.18.0.

**Name of the Vulnerable Software and Affected Versions** Typebot versions prior to 3.18.0 **Description** The server-side Send Email integration block allows arbitrary reading of local files on the server. The issue occurs because the `parseAttachments` helper returns a supplied value as a filesystem path if it does not start with the application's base URL, rather than enforcing an http or https URL. Since the Nodemailer transport is initialized without `disableFileAccess` or `disableUrlAccess` enabled, an absolute server path provided via a typebot variable is read from the local filesystem and sent as an attachment. A registered user can exploit this by publishing a bot that attaches sensitive files, such as `/etc/passwd` or `/proc/self/environ`, and sends them to a controlled email address. This allows the retrieval of process environment secrets, including the database connection string and credential encryption key, without requiring administrative privileges or victim interaction. **Recommendations** Update to version 3.18.0.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Malcolm الأقدم من 26.06.1 **الوصف** يسمح مكون تحميل الملفات (الخلفية البرمجية لـ FilePond PHP) بتحميل ملفات عشوائية لأن قائمة السماح الافتراضية لأنواع الملفات فارغة، مما يجعل عملية التحقق من النوع غير فعالة. لا يقوم أداة تنقية أسماء الملفات بإزالة الامتداد `.php`، ويتم تخزين الملفات التي تم تحميلها في دليل يتم تقديمه بواسطة نفس مثيل nginx و php-fpm. عند تمكين وضع RBAC، يمكن للمستخدمين الذين لديهم الدور `ROLE UPLOAD` الوصول إلى نقطة النهاية `POST /server/php/submit.php` لتحميل ملفات ضارة. وبالتالي، يؤدي الطلب المصادق عليه الموجه إلى `GET /server/php/files/<name>.php` إلى تنفيذ كود PHP الذي تم تحميله بصفتك المستخدم `www-data` داخل حاوية تحميل الملفات. **التوصيات** قم بالتحديث إلى الإصدار 26.06.1.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات SurrealDB الأقدم من 3.1.5 **الوصف** توجد ثغرة تسمح بقراءة ملفات عشوائية في مرشح المُعِد DEFINE ANALYZER. يمكن لمستخدمي قاعدة البيانات الذين يتمتعون بأدوار EDITOR أو OWNER قراءة الملفات التي يمكن لعملية SurrealDB الوصول إليها، وذلك عن طريق تحديد مسارات ملفات عشوائية في مرشح المُعِد. ثم يتم استرداد محتويات الملف من خلال رسائل أخطاء الاستعلام، شريطة أن يكون المتغير `SURREAL FILE ALLOWLIST` فارغًا أو غير مُهيأ. **التوصيات** تحديث SurrealDB إلى الإصدار 3.1.5 أو أحدث. تهيئة المتغير `SURREAL FILE ALLOWLIST` لتقييد الوصول إلى الملفات.

**Name of the Vulnerable Software and Affected Versions** Opencast versions prior to 19.7 Opencast versions prior to 20.2 **Description** The default security configuration in etc/security/mh default org.xml accepts a client-selected session identifier from the `;jsessionid=` URL path parameter and fails to replace it upon user authentication. An unauthenticated attacker can provide a crafted link to a user without an active session cookie and, once the user authenticates, reuse that identifier to hijack the authenticated session. This can lead to unauthorized access to user data and actions, or full administrative account takeover if the victim has administrator privileges. **Recommendations** Update to version 19.7 or later. Update to version 20.2 or later.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Kestra الأقدم من 1.0.45 إصدارات Kestra الأقدم من 1.3.21 **الوصف** يعالج مرشح المصادقة لواجهة برمجة التطبيقات REST `@Filter(”/api/v1/**“)` بشكل غير صحيح أي مسار طلب ينتهي بـ `/configs` على أنه نقطة نهاية عامة لتكوين المثيل، مما يسمح للطلبات بتجاوز المصادقة الأساسية (Basic-Auth). يحدث هذا لأن المنصة تحدد الموارد عبر أجزاء مسار URL التي يختارها المتصل، مثل `/api/v1/{tenant}/flows/{namespace}`، و`/api/v1/{tenant}/executions/{namespace}/{id}`، و`/api/v1/{tenant}/namespaces/{namespace}/kv/{key}`. باستخدام `configs` كجزء أخير، يمكن للمستخدم غير المصادق عليه الوصول إلى مسارات إنشاء التدفق (flow-create) وتشغيل المشغل (execution-trigger) لإنشاء وتشغيل تدفق يحتوي على مهمة Shell أو Process. يتم تنفيذ هذه المهام كجذر داخل الحاوية، وبما أن ملف docker-compose.yml الرسمي يقوم بتثبيت `/var/run/docker.sock`، يمكن للمهاجم الوصول إلى برنامج Docker الخفي الخاص بالمضيف. **التوصيات** تحديث Kestra إلى الإصدار 1.0.45 أو أحدث. تحديث Kestra إلى الإصدار 1.3.21 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Budibase الأقدم من 3.39.9 **الوصف** توجد مشكلة تتيح لمنشئ على مستوى مساحة العمل قراءة أي ملف يمكن لعملية الخادم الوصول إليه، وذلك عن طريق تحميل ملف مضغوط PWA مصمم خصيصًا لهذا الغرض. تقوم نقطة النهاية `POST /api/pwa/process-zip` باستخراج الملف المضغوط الذي تم تحميله باستخدام مكتبة تحافظ على الروابط الرمزية المطلقة. يفشل مدقق مصدر الرموز (icon-source) في النظام في رفض هذه الروابط الرمزية، مما يسمح لملف مخزّن داخل الدليل الأساسي بالإشارة إلى ملفات النظام الحساسة. وبالتالي، يفتح الخادم المسار الذي تم تحليله ويقوم بتدفق البايتات إلى MinIO، والتي يتم بعد ذلك إرجاعها إلى المستخدم عبر نقطة النهاية `GET /api/assets/{appId}/pwa/{uuid}.png`. في عمليات نشر Docker الافتراضية حيث يعمل الخادم بصفة الجذر (root)، قد يؤدي ذلك إلى الكشف عن ملفات حساسة مثل `/etc/shadow` و`/data/.env`، والتي تحتوي على بيانات اعتماد حساسة مثل `JWT SECRET` و`INTERNAL API KEY` و`DATABASE URL`. **التوصيات** تحديث Budibase إلى الإصدار 3.39.9 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات خادم Budibase الأقدم من 3.39.1 **الوصف** توجد مشكلة حيث تقوم الدالة `enrichContext` باستبدال قيم المعلمات في نص JSON الخام للاستعلام ثم تحلل النتيجة باستخدام `JSON.parse`. تفشل الدالة `validateQueryInputs` في إخفاء أحرف JSON الخاصة مثل `"` و`` و`}`، وترفض فقط علامات Handlebars. وهذا يسمح للمهاجم بحقن علامات الاقتباس الختامية ومفاتيح إضافية، مما يؤدي إلى نقل الحقول التي يتحكم فيها المهاجم إلى كائن المرشح الذي تم تحليله. بالنسبة لعمليات `find` في MongoDB، يتم تمرير المرشح الذي تم تحليله مباشرةً إلى `collection.find()`، مما يسمح للمهاجم بتجاوز المرشحات وإرجاع كل مستند في المجموعة. وبالمثل، بالنسبة لاستعلامات `updateMany`، يمكن توسيع نطاق المرشح ليشمل المجموعة بأكملها، مما يؤدي إلى تشغيل نص `$set` على كل مستند مطابق. تتخطى البرمجيات الوسيطة `authorized` عمليات المصادقة وفحوصات CSRF عندما يتم تعيين دور الاستعلام على `PUBLIC`. ونتيجة لذلك، يمكن للزائر غير المصادق عليه استخدام نقطة النهاية `POST /api/v2/queries/:queryId`، مع توفير رأس `x-budibase-app-id` العام فقط، لقراءة أو تعديل كل مستند في المجموعات الداعمة لـ MongoDB أو CouchDB أو Elasticsearch أو DynamoDB-PartiQL أو مجموعات REST ذات نص JSON. **التوصيات** قم بتحديث خادم Budibase إلى إصدار أحدث من 3.39.0. كحل مؤقت، تجنب تعيين دور الاستعلامات غير SQL (MongoDB، أو CouchDB، أو Elasticsearch، أو DynamoDB-PartiQL، أو REST مع `bodyType=json`) إلى `

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات NocoDB السابقة للإصدار 2026.05.1 **الوصف** يفشل معالج إرسال عرض النموذج المشترك الموجود في `packages/nc-gui/composables/useSharedFormViewStore.ts` في التحقق من صحة نظام عناوين URL عند كتابة `redirect url` إلى `window.location.href`. على الرغم من إجراء فحص المضيف نفسه، فإن أنظمة العناوين التي لا تتعلق بالشبكة مثل `javascript:` و`data:` و`vbscript:` و`file:` تؤدي إلى سلسلة مضيف فارغة، مما يجعل التطبيق يعامل عنوان URL على أنه إعادة توجيه خارجي ويقوم بتنفيذه داخل مصدر NocoDB. يمكن للمستخدم الذي يحمل دور `editor` أو أعلى إدخال عنوان URL من نوع `javascript:` في `redirect url` عبر نقطة نهاية PATCH الخاصة بعرض النموذج. وعندما يقوم مشاهد تمت مصادقته بإرسال النموذج عبر رابط مشترك، يتم تنفيذ الحمولة، مما يسمح للمهاجم بقراءة رمز الجلسة من `localStorage[”nocodb-gui-v2“]` وتنفيذ إجراءات باستخدام هوية المشاهد. **التوصيات** قم بالتحديث إلى الإصدار 2026.05.1. كحل مؤقت، قم بتقييد المستخدمين الذين يحملون دور «editor» من تعديل «redirect url» في عرض النماذج حتى يتم تطبيق التحديث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات authentik الأقدم من 2025.12.5 إصدارات authentik الأقدم من 2026.2.3 **الوصف** توجد مشكلة في Simple Flow Executor (SFE)، وهو مكون يُستخدم لإدارة تسلسل الخطوات في تدفق المصادقة. ونظرًا لتنفيذ مراحل مصممة للحفاظ على التوافق مع المتصفحات القديمة، توجد ثغرة في البرمجة النصية عبر المواقع (XSS) في وظيفة `AutosubmitStage`. وتعد XSS نوعًا من الثغرات الأمنية التي تسمح للمهاجم بإدخال نصوص برمجية ضارة في صفحات الويب التي يشاهدها مستخدمون آخرون. **التوصيات** التحديث إلى الإصدار 2025.12.5. التحديث إلى الإصدار 2026.2.3.