Kodareef5

Server-side request forgery (SSRF) occurs in the Cheerio, Playwright, and Puppeteer document loader nodes, allowing the bypass of SSRF protection. This enables attackers to provide arbitrary URLs to retrieve cloud metadata, internal services, and private network resources, with the response content returned as document text.

Envoy fails to properly handle scoped IPv6 addresses when using `Utility::copyInternetAddressAndPort` and QUIC client-address paths. The process reconstructs these addresses via `addressAsString` and `Ipv6Instance`, resulting in a string containing a percent scope identifier that `inet pton` cannot parse. This leads to an exception or process abort. The issue can be triggered by kernel-provided scoped IPv6 destinations in ORIGINAL DST transparent-proxy deployments or through affected QUIC connection paths.

SSO configuration API endpoints are exposed on the same public routing boundary as the SSO login and callback endpoints, allowing SSO, OIDC, and SAML management operations to be accessed without administrator authorization. This allows unauthorized or low-privileged users to inspect or modify the authentication configuration, potentially leading to account takeover or privilege escalation. Additionally, the SSO connectivity-test function can be used as a server-side request forgery (SSRF) primitive—a technique where an attacker induces the server to make requests to an unintended location. Furthermore, the user list API returns user objects without consistently removing authentication-related fields.

يمكن لعميل MQTT المصادق عليه الاشتراك في مجموعة الموضوعات الداخلية `$MQTT.deliver.pubrel`. يتيح هذا الإجراء للعميل تجاوز أذونات الاشتراك المُعدة مسبقًا وكشف بيانات تعريف بروتوكول MQTT QoS2 للجلسات داخل الحساب. QoS2 (مستوى جودة الخدمة 2) هي آلية بروتوكول تضمن تسليم الرسالة مرة واحدة فقط.

لا يتم تطبيق عمليات التحقق من وجهة تتبع الرسائل بشكل متسق على الرسائل الواردة عبر اتصالات leafnode. وهذا يسمح لمشغل leafnode بإرسال أحداث التتبع إلى كيانات تكون عادةً مقيدة، واستخدام سلوك ”التتبع فقط“ لحظر التسليم القياسي أو التخزين للرسائل المتأثرة.

يمكن أن يتسبب نظير غير مصدق له وصول شبكي إلى مستمع «leafnode» مع تمكين الضغط في تعطل الخادم. يحدث هذا أثناء مصافحة «leafnode» قبل المصادقة، عندما يتم إرسال رسائل بروتوكول INFO متكررة من «leafnode» قبل اكتمال عمليات المصادقة وإعداد الحساب.

Coolify هي أداة مفتوحة المصدر وقابلة للاستضافة الذاتية لإدارة الخوادم والتطبيقات وقواعد البيانات. يمكن للمستخدم المصادق عليه تنفيذ أوامر على الخوادم المدارة عند حذف أحد الموارد، وذلك لأن الحقل `LocalPersistentVolume.name` يتم إدراجه مباشرةً في أوامر shell الخاصة بوحدة تخزين Docker دون استخدام آلية الهروب من معلمات shell. وهذا يسمح بحقن أحرف خاصة بـ shell في اسم وحدة التخزين.

يفشل معالج استجابة مصدر SAML `ResponseProcessor.parse()` في التحقق من صحة عنصر Conditions في التأكيدات. وعلى وجه التحديد، يتم تجاهل `NotBefore` و`NotOnOrAfter` و`AudienceRestriction`، مما يتيح إعادة تشغيل التأكيدات منتهية الصلاحية وقبول التأكيدات المخصصة لمقدمي خدمات مختلفين.

في تنفيذ `ngclient` ، تستخدم الدالة `DelegatedRole. is target in pathpattern()` في `tuf/api/ payload.py` الدالة `fnmatch.fnmatch` للتحقق مما إذا كان مسار الهدف مصرحًا به بواسطة نمط glob الخاص بالتفويض. في نظام التشغيل Windows ، تقوم `fnmatch.fnmatch` بتطبيق `os.path.normcase` ، مما يحول السلاسل النصية إلى أحرف صغيرة، مما يجعل تفويض المسار غير حساس لحالة الأحرف. هذا السلوك ينحرف عن مواصفات TUF ويختلف عن نظامي Linux و macOS. إذا كان المستودع يحتوي على تفويضات قائمة على المسار تختلف فقط في حالة الأحرف وتمت معالجة دور يتحكم فيه المهاجم قبل الدور الشرعي ، فقد يقبل عميل Windows هدفًا غير مصرح به قدمه المهاجم لمسار مطلوب.

A path traversal issue exists due to improper validation of submodule names and a trust inheritance flaw. The `name()` function in `gix-validate` only checks the first occurrence of `..`, allowing crafted names like `a..b/../../../.git/` to bypass the check. Furthermore, this validation is not invoked in production code paths. In `Submodule::open()`, the parent repository's `git dir trust` (set to `Trust::Full`) is cloned, which causes the system to skip ownership verification. An attacker can exploit this by crafting a malicious `.gitmodules` file, leading a tool built on gitoxide to read arbitrary git repository configurations, including embedded credentials, while bypassing safe-directory protections.

The issue involves unchecked array indexing during delta application and uncapped memory allocation triggered by attacker-controlled size headers in the `gix-pack` module. An attacker can send specially crafted pack data during clone or fetch operations to cause the process to panic or be killed due to out-of-memory conditions.

عند تشغيل أداة تصحيح الأخطاء `cilium-bugtool` على عمليات النشر التي تم تمكين تشفير WireGuard فيها، قد تحتوي مخرجات الأداة على بيانات حساسة. وعلى وجه التحديد، قد يتم الكشف عن المفتاح الخاص لـ WireGuard `cilium wg0.key`، المستخدم في الاتصال المشفر بين العقد. وعادةً ما يتم تشغيل هذه الأداة يدويًا أو أثناء جمع ملفات sysdump عبر الأمر `cilium sysdump`.

توجد مشكلة في قناة جانبية متعلقة بالتوقيت في البرمجيات الوسيطة BasicAuth. حيث يتم تحويل متغير مخصص لتوفير سر احتياطي ذي وقت ثابت بشكل متسق إلى سلسلة فارغة، مما يتسبب في حدوث قصر في الدائرة للمقارنة ذات الوقت الثابت بسرعة بدلاً من إكمال تقييم bcrypt الكامل. وهذا يؤدي إلى إنشاء أوراكل توقيت، مما يسمح للمهاجم بتعداد أسماء المستخدمين الصالحة عن طريق قياس الاختلافات في أوقات استجابة المصادقة.

ميزة إعادة كتابة ملفات تعريف الارتباط (Cookie Rewriting) معرضة لحقن كود Lua. يمكن للمهاجم الذي يمتلك أذونات RBAC لإنشاء أو تعديل موارد HTTPProxy تزويد قيم ضارة في المتغيرات `spec.routes[].cookieRewritePolicies[].pathRewrite.value` أو `spec.routes[].services[].cookieRewritePolicies[].pathRewrite.value`، مما يؤدي إلى تنفيذ تعليمات برمجية تعسفية في وكيل Envoy. يحدث هذا لأن القيم التي يتحكم فيها المستخدم يتم إدراجها في كود Lua المصدري باستخدام Go text/template دون تطهير كافٍ. وعلى الرغم من أن الكود المُحقن لا يُنفَّذ إلا على المسار الخاص بالمهاجم نفسه، إلا أنه يمكن استخدامه لقراءة بيانات اعتماد عميل Envoy xDS من نظام الملفات — مما قد يؤدي إلى الكشف عن شهادات TLS والمفاتيح الخاصة للمستأجرين الآخرين — أو التسبب في رفض الخدمة للمستأجرين الآخرين الذين يتشاركون مثيل Envoy.

يسمح تجاوز التحقق من صحة مسار VolumeMount بتركيب وحدات تخزين ضمن المسارات الداخلية المقيدة لـ ’/tekton/‘ باستخدام مكونات عبور المسار ’..‘. يستخدم فحص التقييد الدالة `strings.HasPrefix` دون تطبيق `filepath.Clean`، مما يعني أن مسارًا مثل ’/tekton/home/../results‘ يجتاز التحقق من الصحة ولكنه يُحل إلى ’/tekton/results‘ في وقت التشغيل. يحدث هذا لأن ’/tekton/home‘ هي بادئة مسموح بها، مما يسمح لعنصر اجتياز المسار بتجاوز الفحص. توجد هذه المشكلة في ملفَي `container validation.go` و`task validation.go`. يمكن للمستخدم المصادق عليه الذي يمتلك أذونات إنشاء المهام (Task) أو تشغيل المهام (TaskRun) استغلال هذه الثغرة لكتابة نتائج مهام مزيفة، أو قراءة أو تعديل نصوص الخطوات البرمجية قبل التنفيذ، أو التدخل في حالة تنسيق نقطة الدخول.

يفشل محلل git في التحقق من صحة المعلمة `revision`، التي يتم تمريرها مباشرة كحجة موضعية إلى الأمر `git fetch`. وهذا يسمح للمهاجم بإدخال علامات تعسفية، مثل `--upload-pack=<binary>`. بالإضافة إلى ذلك، تسمح الدالة `validateRepoURL` بعناوين URL التي تبدأ بـ `/`، مما يسمح بمسارات نظام الملفات المحلية. يمكن للمستأجر القادر على إرسال كائنات `ResolutionRequest` الجمع بين هذه السلوكيات لتنفيذ ملفات ثنائية عشوائية على بود المحلل. ونظرًا لأن حساب الخدمة `tekton-pipelines-resolvers` يمتلك أذونات `get` و`list` و`watch` على مستوى المجموعة بأكملها لجميع الأسرار، فقد يؤدي ذلك إلى تسريب كامل للأسرار على مستوى المجموعة بأكملها.

قد يؤدي التلاعب بمعلمات الاستعلام في لوحة التحكم ونقاط نهاية واجهة برمجة التطبيقات REST، أو بالمعلمات في استعلامات GraphQL، إلى فقدان المحتوى والأصول وحسابات المستخدمين. يتطلب الاستغلال عبر لوحة التحكم مصادقة بأدنى حد من الأذونات، مثل إذن ”عرض الإدخالات“ لحذف الإدخالات أو إذن ”عرض المستخدمين“ لحذف المستخدمين. لا تتطلب عمليات الاستغلال التي تستهدف واجهات برمجة التطبيقات REST و GraphQL أي أذونات، ولكن هذه الواجهات غير ممكّنة بشكل افتراضي؛ لذا يجب تمكينها صراحةً دون مصادقة، مع توفر موارد محددة يمكن الوصول إليها لاستغلالها.

يوجد ثغرة في تجاوز عملية المصادقة ضمن خيار فرض `email domain`. يمكن للمهاجم المصادقة باستخدام مطالبة بريد إلكتروني غير صحيحة، مثل `attacker@evil.com@company.com`، لتلبية متطلبات فحص المجال المسموح به لـ `company.com`. تؤثر هذه المشكلة بشكل خاص على عمليات النشر التي تعتمد على قيود `email domain` التي تقبل قيم مطالبات البريد الإلكتروني من مزودي الهوية أو تعيينات المطالبات التي لا تفرض بصرامة قواعد بناء الجملة القياسية للبريد الإلكتروني. يوجد هذا الخطر بشكل أساسي في بيئات OIDC ذاتية الاستضافة أو المخصصة، وفي الإعدادات الموحدة حيث يمكن أن تصل قيم المطالبات غير المتوقعة إلى الوكيل.

توجد مشكلة في ويب هوك (webhook) تصفية الشروط في `libs/application-generic/src/usecases/conditions-filter/conditions-filter.usecase.ts` حيث يتم تمرير `child.webhookUrl` الذي يحدده المستخدم مباشرة إلى `axios.post()` دون إجراء تحقق من SSRF عبر وظيفة `validateUrlSsrf()`. يسمح هذا للمهاجم بإرسال طلب POST إلى خدمات خاصة أو خدمات محلية، مثل AWS IMDSv1، أثناء تقييم شروط سير العمل. يتم تخزين بيانات الاستجابة الناتجة في تفاصيل التنفيذ ويمكن استردادها من خلال نقطة النهاية 'GET /execution-details'، مما قد يؤدي إلى كشف بيانات الخدمات الداخلية أو بيانات الاعتماد من خدمات البيانات الوصفية التي تدعم طلبات POST. الـ SSRF (تزوير الطلبات عبر الخادم) هي ثغرة يتم فيها خداع الخادم لإرسال طلبات إلى موقع غير مقصود.

يقوم محرك القوالب v2 الموجود في `runtime/template/v2/template.go` بإزالة `env` و`expandenv` من `TxtFuncMap()`، لكنه يترك الدالة `getHostByName()` متاحة للقوالب التي يتحكم فيها المستخدم. نظرًا لأن وحدة التحكم تُنفذ القوالب ضمن عمليتها الخاصة، يمكن للمهاجم القادر على إنشاء أو تحديث موارد ExternalSecret القائمة على القوالب أن يُطلق عمليات بحث DNS من جانب وحدة التحكم باستخدام قيم مشتقة من الأسرار. وهذا يتيح أسلوبًا أوليًا لتسريب البيانات عبر DNS، مما يسمح بتسريب المعلومات السرية عبر استعلامات DNS دون الحاجة إلى وصول شبكي خارجي مباشر من حمل عمل المهاجم. وينتج عن ذلك مشكلة تتعلق بالسرية في البيئات التي يمكن فيها للمستخدمين ذوي الثقة المنخفضة إنشاء هذه الموارد، وتتمتع وحدة التحكم بقدرات تحليل عناوين DNS.