Kemrec

توجد ثغرة cross-site scripting مخزنة في الدالة `html.clean()`. تحدث المشكلة عند إعادة بناء iframes من JSON الخاص بـ `data-se-iframe-holder-attrs` دون تصفية مفاتيح `srcdoc` أو `SRC` المكتوبة بأحرف كبيرة بشكل صحيح. يسمح هذا للمهاجمين بحقن HTML خبيث من خلال عمليات اللصق، أو `html.set` أو `html.insert` لتنفيذ برمجيات نصية في أصل الصفحة المضيفة عندما يقوم الضحايا بتحميل أو لصق المحتوى المتأثر.

تفشل أدوات مساعدة بناء الرسائل في إزالة أحرف Return Carriage (CR) و Line Feed (LF)، مما يؤدي إلى حقن رأس CRLF. يحدث هذا عندما يقوم المهاجمون بتوفير قيم مصممة خصيصاً لـ `MIME type` أو `charset` أو `encoding` أو `micalg` أو `protocol` مما يسمح بحقن أسطر رأس إضافية، مثل Bcc مزور، في الرسائل الصادرة.

يسمح تجاوز حماية الاعتمادات لمحرري سير العمل المشترك باستخدام اعتمادات مقيدة عن طريق تحميل سير عمل فرعي من روابط URL أو ملفات محلية. يمكن للمهاجم تكوين عقدة Execute Sub-workflow باستخدام المصدر `url` أو `localFile` لتقديم محتوى يستخرج اعتمادات المشروع ويعيد قيمها بعد فك التشفير.

يقوم عقد SeaTable Trigger بحفظ رمز API في بيانات تنفيذ الخطأ. يحدث هذا لأن طلبات الاستطلاع (poll) الفاشلة تخزن ترويسات الطلب الخام، مما يسمح للمستخدمين الذين يمكنهم عرض تنفيذات سير العمل ولكن لا يمكنهم الوصول إلى الاعتمادات باستعادة الرمز والوصول إلى قاعدة SeaTable المتصلة.

يؤدي الفشل في تطبيع أسماء مستعارة لنطاق جهاز GLOBALROOT في نظام Windows إلى تجاوز القائمة السوداء IsSensitivePath. يمكن للمهاجم استدعاء الدالة `importStdMd` باستخدام مسار يبدأ بـ GLOBALROOT لنسخ رمز API والمفتاح الخاص TLS إلى دليل الأصول الذي يتم تقديمه علنًا.

يوجد تجاوز للصلاحيات في مكون `SignupDisableGuard`. يقوم النظام بتقييم قيمة السلسلة النصية 'false' لإعداد التسجيل بشكل خاطئ على أنها قيمة منطقية صحيحة (truthy)، مما يؤدي إلى عدم فرض قيود التسجيل على مستوى المثيل. يتيح ذلك للمهاجمين غير المصرح لهم إرسال طلبات POST إلى نقطة النهاية '/api/signup' بدون `organizationId` لإنشاء حساب، والانضمام إلى مساحة العمل الافتراضية، والحصول على جلسة صالحة.

توجد مشكلة في نقص التصريح في وحدة API `smwtask`. يمكن للمهاجمين غير المصرح لهم استخدام رمز CSRF المجهول العام مع المعلمة `run-joblist` لتنفيذ أنواع مهام عشوائية بأعداد غير محدودة. بالإضافة إلى ذلك، يمكن للمهاجمين استدعاء دالة `update` على الصفحات المحمية لمشرفي النظام (sysops)، مما قد يؤدي إلى تسريب عناوين الصفحات واستنفاد موارد النظام.

يوجد خلل في عزل البيئة الرملية (sandbox escape) في مصادق js-runtime. يمكن لعضو في المشروع لديه صلاحية الكتابة تجاوز القائمة البيضاء لـ AST (شجرة بناء الجملة المجردة) عن طريق إنشاء اسم مستعار لمشيد Function. يتم ذلك من خلال قراءة `payload.constructor.constructor` في متغير محلي واستدعائه، مما يسمح بتنفيذ رمز عشوائي داخل عملية العامل (worker process).

A filter injection issue exists in the Supabase node when using the Filters (String) mode due to a failure to escape field values. This allows attackers to inject filter expressions via untrusted input, potentially enabling them to read all table rows, update all records, or delete entire tables within a single request.