Khoadb175

When Full Multiple Company Support is enabled, the application fails to apply company scope filtering to the 'GET /hardware/requested' endpoint. This allows authenticated users with `assets.view` permission to access pending asset requests from all companies. This flaw enables the retrieval of cross-tenant data, including requested asset names, requester display names, profile links, locations, and expected check-in dates, without requiring parameter manipulation.

An authorization bypass occurs in checkout-acceptance report actions when Full Multiple Company Support is enabled. Authenticated users with `reports.view` permission can enumerate sequential acceptance IDs to soft-delete or trigger reminder emails for acceptances belonging to other companies. This is possible by exploiting a null check on the legacy `users.company id` column.

توجد ثغرة ”تزوير الطلبات من جانب الخادم“ (SSRF) غير المباشرة عند تمكين الإعداد `[oauth2 client] UPDATE AVATAR = true`. تحدث هذه المشكلة لأن الخادم يسترد عنوان URL الخاص بالصورة الرمزية المقدم من مزود OAuth2/OIDC — وعادةً ما يكون المطالبة `picture` — باستخدام عميل Go HTTP الافتراضي دون تطبيق قيود على المضيف الصادر أو عنوان IP. يمكن للمستخدم ذي الامتيازات المنخفضة الذي يمكنه التأثير على مطالبة `picture` الخاصة به أن يجبر خادم Gitea على إرسال طلبات HTTP GET صادرة عشوائية إلى عناوين loopback، وعناوين الشبكات الخاصة وفقًا لمعيار RFC 1918، وعناوين IPv4 المحلية للرابط مثل `169.254.169.254`. تشمل التفاصيل الفنية ما يلي: - **الوظيفة المعرضة للخطر**: `oauth2UpdateAvatarIfNeed()` في `routers/web/auth/oauth.go` و`oauth2SignInSync()` في `routers/web/auth/oauth signin sync.go`. - **المتغير المعرض للخطر**: `gothUser.AvatarURL`. على الرغم من أن هذه المشكلة تُعتبر في الأساس «عمياء» (blind) نظرًا لرفض الاستجابات التي لا تحتوي على صور، إلا أن تأثيرها يزداد إذا تمكن الخادم من الوصول إلى خدمات البيانات الوصفية السحابية أو الخدمات الداخلية التي تُرجع بيانات صور صالحة، والتي يمكن بعد ذلك تخزينها كصورة رمزية للمستخدم.

توجد مشكلة في آلية الاستدعاء المرتد لتسجيل الدخول عبر OAuth2 تسمح بإعادة تنشيط حساب مستخدم معطل عند تسجيل الدخول عبر مصدر مصادقة لا يصدر رموز تجديد، مثل GitHub أو مصادر OIDC/OAuth2 التي تم تكوينها بدون `offline access`. يستخدم النظام بشكل خاطئ رمز تحديث فارغًا كإشارة إلى أن الحساب قد تم تعطيله بواسطة برنامج cron للمزامنة التلقائية وليس بواسطة المسؤول. ونتيجة لذلك، عندما يقوم مستخدم معطل بتسجيل الدخول عبر هذه المصادر، يقوم النظام بتعيين `IsActive` إلى `true` ويمنح جلسة كاملة، متجاوزًا عملية التعطيل التي قام بها المسؤول. يؤثر هذا على الدالة `handleOAuth2SignIn` الموجودة في `routers/web/auth/oauth.go`. إذا كان الحساب المعطل يتمتع بامتيازات إدارية، فسيتم استعادة تلك الامتيازات أيضًا. لا يؤثر هذا على الحسابات التي تم تعطيلها عبر ميزة «منع تسجيل الدخول».