Kocaemre

**Name of the Vulnerable Software and Affected Versions** Traccar versions prior to 6.14.0 **Description** An authenticated user with permissions to manage groups and request reports can create a cyclic group-parent hierarchy. When a trips or stops report is requested for a device within this hierarchy, the `org.traccar.api.resource.GroupResource` allows the cycle, and the `org.traccar.helper.model.AttributeUtil.lookup()` function follows group parents without cycle detection, a visited set, or a depth limit. This process, accessed via `TripsConfig.` and `ReportUtils.slowTripsAndStops`, results in a non-terminating storage-backed lookup that consumes high CPU on a Jetty worker and can exhaust the web/API worker pool if requests are repeated. **Recommendations** Update to version 6.14.0.

**Name of the Vulnerable Software and Affected Versions** Wazuh versions 4.0.0 through 4.14.6 **Description** A malicious or man-in-the-middle enrollment manager can cause a denial of service by crashing a Wazuh agent during the enrollment process. This occurs when the manager returns a malformed key response containing fewer than four fields, leading to a NULL pointer dereference. The `w enrollment process agent key()` routine splits the key into four space-separated fields but fails to verify their presence before validation. Specifically, `OS StrBreak()` leaves missing trailing entries as NULL, and `OS IsValidName()` subsequently calls `strlen()` on the NULL argument, terminating the agent process. This is possible when enrollment is permitted against an unverified manager due to the absence of a configured CA certificate. **Recommendations** Update to version 4.14.7.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Wazuh wazuh-modulesd الإصدارات السابقة لـ 5.0.0-beta3 **الوصف** تحدث عملية إزالة مرجعية مؤشر فارغ (null pointer dereference) أثناء معالجة قيمة البيانات (DataValue) في FlatBuffer ضمن وظيفة `inventory sync`. يمكن لوكيل مسجل أن يتسبب في حدوث هجوم رفض الخدمة عن طريق إرسال رسالة DataValue صالحة من وجهة نظر أداة التحقق (verifier-valid) تتجاهل الحقل الاختياري `id`. ويؤدي ذلك إلى تعطل عملية `wazuh-modulesd` عند محاولتها استدعاء `data->id()->string view()` دون إجراء التحقق من عدم وجود قيمة. **التوصيات** تحديث wazuh-modulesd إلى الإصدار 5.0.0-beta3 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات rtk الأقدم من 0.42.2 **الوصف** يوجد عيب في منطق «مقسم الأذونات» (permission splitter) يؤدي إلى عدم التقسيم الحذر أو رفض بعض تركيبات غلاف Bash التي تنشئ حدودًا لتنفيذ الأوامر أو تنفيذًا متداخلاً. ويؤدي هذا التحقق غير السليم من صحة المدخلات والتحليل غير الصحيح لصيغة غلاف الأوامر إلى السماح لبادئة مسموح بها، مثل «git»، بإخفاء أمر إضافي. ونتيجة لذلك، تُرجع الدالة `rtk rewrite` رمز الخروج 0، مما يؤدي إلى قيام ربط Claude بإصدار قرار أذونات (permissionDecision) بقيمة ”allow“. وهذا يتيح تنفيذ الأمر المخفي دون الحصول على تأكيد أو رفض من المستخدم وفقًا لقواعد الأذونات، مما قد يؤدي إلى تنفيذ أوامر غير مصرح بها في سياق المستخدم. **التوصيات** التحديث إلى الإصدار 0.42.2.

**Name of the Vulnerable Software and Affected Versions** Traccar versions prior to 6.14.0 **Description** An authenticated, non-readonly user can exploit a flaw when submitting requests to the 'DELETE /api/permissions' endpoint. The `Permission(LinkedHashMap<String, Long>)` function in `src/main/java/org/traccar/model/Permission.java` only validates the first two keys of the provided JSON, while the `DatabaseStorage.removePermission()` function in `src/main/java/org/traccar/storage/DatabaseStorage.java` concatenates all map keys into the SQL WHERE clause as column identifiers. This allows an attacker to inject controlled SQL via an extra JSON key, creating a blind boolean or error oracle. This can be used to extract sensitive database values, such as administrator emails, password hashes, and salts, or to conditionally delete permission rows. **Recommendations** Update to version 6.14.0.