Komiljon Ayubov

WhoDB 0.104.0 before 0.135.0 contains a path traversal vulnerability that allows remote attackers to read and write arbitrary host files by running DuckDB filesystem functions through the query editor. Attackers can log in to a DuckDB file without credentials and use read text, read blob, COPY ... TO or ATTACH to steal session.key and stored database credentials or overwrite files.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات daptin الأقدم من 0.12.35 **الوصف** تسمح مشكلة تتعلق بالتفويض غير السليم للمهاجمين عن بُعد غير المصادق عليهم بتنفيذ عمليات القراءة والإنشاء والتحديث والحذف على سجلات مجموعات المستخدمين. توجد الثغرة في ملف `server/permission/permission.go` ضمن وظائف التحقق من الأذونات `CanRead()` و`CanPeek()` و`CanCreate()` و`CanUpdate()` و`CanDelete()` و`CanRefer()`. تُرجع هذه الوظائف القيمة ”true“ عندما يتطابق `p.UserId` مع `userId` الطالب، لكنها تفشل في رفض المراجع الفارغة أو التي تساوي صفرًا. ونظرًا لأن صفوف جدول مجموعات المستخدمين تفتقر إلى `user account id` ويتم تحميلها بمالك null، يُمنح الضيف غير المصادق عليه الذي يمتلك `UserId` جلسة عمل null حق الوصول الكامل CRUD (إنشاء، قراءة، تحديث، حذف) إلى جميع كائنات مجموعات المستخدمين. **التوصيات** تحديث daptin إلى الإصدار 0.12.35 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات fastschema الأقدم من 0.15.2 **الوصف** تحدث عملية إزالة مرجعية مؤشر NULL عندما يفشل الخادم في التحقق من أن المؤشر غير nil قبل استخدامه. يمكن لمهاجم بعيد غير مصدق أن يتسبب في حدوث حالة ذعر قاتلة تؤدي إلى تعطل عملية الخادم عن طريق إرسال طلب HTTP واحد إلى نقطة النهاية ’/api/auth/local/recover‘. تقع هذه المشكلة في الدالة `sendOTPEmail()` داخل الملف pkg/auth/local.go، حيث يتم إلغاء مرجعية مؤشر من مسار خطأ لم يتم فحصه. **التوصيات** قم بالتحديث إلى إصدار أحدث من 0.15.1. كحل مؤقت، قم بتقييد الوصول إلى نقطة النهاية ’/api/auth/local/recover‘ لتقليل مخاطر الاستغلال إلى الحد الأدنى.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات fastschema الأقدم من 0.15.2 **الوصف** توجد ثغرة في البرمجة النصية عبر المواقع (XSS) المخزنة، حيث يمكن لمستخدم معتمد ذي امتيازات منخفضة تحميل ملف SVG يحتوي على جافا سكريبت ضار. يحدث هذا لأن الدالة `PutMultipart()` في `pkg/rclonefs/base.go` تتحقق من صحة رأس `Content-Type` المقدم من العميل بدلاً من فحص محتوى الملف الفعلي. يمكن للمهاجم تجاوز فحص قائمة أنواع MIME المسموح بها عن طريق إعادة تسمية الملف إلى .jpg مع تحديد `image/svg+xml` كرأس، مما يسمح بتخزين ملف SVG يحتوي على نص برمجي في جذر الويب. **التوصيات** تحديث fastschema إلى الإصدار 0.15.2 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات fastschema الأقدم من 0.15.2 **الوصف** تحدث حالة تنافس «وقت الفحص/وقت الاستخدام» (TOCTOU) في مسار استعادة الحساب. تسمح هذه المشكلة لمهاجم بعيد غير مصدق بتجاوز حد محاولات كلمة المرور لمرة واحدة (OTP)، مما يسهل شن هجمات القوة الغاشمة على رموز OTP المكونة من 6 أرقام. تقوم الدالة `verifyOTPSession()` الموجودة في pkg/auth/local.go بقراءة عداد المحاولات وزيادته باستخدام عمليات منفصلة غير متزامنة. وهذا يسمح للطلبات المتزامنة برؤية نفس عدد المحاولات دون الحد الأدنى وتجاوز فحص الحد قبل إتمام التحديث. حالة التنافس TOCTOU هي خطأ برمجي يحدث عندما يتحقق البرنامج من حالة أحد الموارد ثم يتصرف بناءً على تلك الموارد، لكن الحالة تتغير بين وقت الفحص ووقت التنفيذ. **التوصيات** قم بتحديث fastschema إلى الإصدار 0.15.2 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** CoreBunch/Instatic من الإصدار 0.0.1 إلى 0.0.14 **الوصف** يمكن لمهاجم عن بُعد غير مصدق أن يفسد ذاكرة التخزين المؤقتة المشتركة لعملية العرض على مستوى العملية. من خلال التلاعب بمعلمة الاستعلام `u` لنقطة نهاية جزيرة الخادم GET ’/ instatic/hole/<nodeId>‘، يمكن للمهاجم زرع إطار قالب المسار المستخدم لعملية العرض. ونظرًا لأن النتيجة يتم تخزينها في ذاكرة تخزين مؤقتة مشتركة يتم تحديدها فقط بواسطة `nodeId`، فإن هذا يسمح بحقن مسار مصمم خصيصًا، مما يتسبب في تلقي الزوار اللاحقين لمحتوى مجزأ تالف أو خاضع لسيطرة المهاجم. **التوصيات** قم بتحديث CoreBunch/Instatic إلى إصدار أحدث من 0.0.14. تجنب استخدام المعلمة `u` في نقطة النهاية ’/ instatic/hole/<nodeId>‘ حتى يتم تحديث البرنامج.