Lighthousekeeper1212

يوجد خلل في التصريح في دالة `updateAssign()` ضمن ProjectsController. يسمح هذا الخلل لأي مستخدم مصرح له بإعادة تعيين المشاريع حتى لو لم يكن لديه إذن `can-assign-new-user-to-project`. يمكن للموظفين ذوي الصلاحيات المنخفضة استغلال ذلك عن طريق إرسال طلبات PATCH أو POST إلى نقطة النهاية '/projects/updateassign/{external id}' باستخدام `user assigned id` محدد لتغيير ملكية المشروع والإشعارات.

يوجد خلل في المرجع المباشر غير الآمن للكائنات في دالة `get object()` ضمن `SubscriptionViewSet`. ينبع هذا الخلل من استخدام مجموعة استعلام (queryset) غير محددة النطاق تفتقر إلى تصفية المؤسسة أو فحوصات الأذونات. وبناءً على ذلك، يمكن للمستخدمين المصرح لهم أو مفاتيح واجهة برمجة التطبيقات (API keys) من أي مؤسسة تقديم `subscription id` تابع لمؤسسة أخرى للقراءة أو الإلغاء أو التحديث أو تغيير الخطط أو تعديل الإضافات، مما يؤدي إلى تغيير فواتير مستأجر آخر.

يوجد تجاوز للصلاحيات في معالج `UpdateIssueComment`. يمكن لمستخدمي المشاريع ذوي الصلاحيات المنخفضة، بما في ذلك أولئك الذين لديهم دور Project Viewer، تعديل التعليقات في مشاريع أخرى. يتم ذلك عن طريق تعيين مشكلة من مشروعهم الخاص كأصل والإشارة إلى UID تعليق خارجي لتجاوز التعليقات التي لا يملكون صلاحية الوصول إليها.

توجد ثغرة حقن SQL في الملف `mem0/vector stores/databricks.py`. يمكن للمهاجمين تنفيذ أوامر SQL تعسفية على مستودع Databricks SQL المكون من خلال تقديم نصوص ذاكرة أو بيانات وصفية أو أسماء رسائل مصممة خصيصاً. تصل هذه المدخلات إلى استكمال سلسلة نصية غير مفلترة داخل دالتي `insert()` و `update()`، مما يسمح بحقن أوامر SQL خبيثة.

يوجد خلل في تجاوز التفويض في معالج `updateExtClient`. يسمح هذا الخلل للمستخدمين الذين لديهم صلاحيات على نطاق الشبكة بتعديل العملاء الخارجيين في شبكات أخرى. يمكن للمهاجم إرسال طلبات PUT إلى نقطة النهاية '/api/extclients/{network}/{clientid}' لاستبدال المفاتيح العامة، وتعطيل العملاء، والحصول على مفاتيح WireGuard الخاصة.

يسمح تجاوز تفويض للمستخدمين المصرح لهم بالوصول إلى عمليات تشغيل المهام من مشاريع أخرى عن طريق تقديم UID. يمكن للمستخدمين الذين لديهم صلاحيات في مشروع واحد تقديم معرفات (UIDs) لمهام أو عمليات تشغيل مهام خارجية لقراءة سجلات التنفيذ، وتفاصيل جلسة قاعدة البيانات، وSQL التراجع من مشاريع أخرى عبر الدوال `GetTaskRunLog()` و `GetTaskRunSession()` و `PreviewTaskRunRollback()`.

توجد مشكلة في التصريح غير الصحيح في معالجات `sources/state.ts`. تحدث المشكلة لأن الدالة `findFirst()` يتم استدعاؤها بدون الكلمة المفتاحية `await` مما يمنع تنفيذ فحص ملكية `syncId` بشكل صحيح. وبناءً على ذلك، يمكن للمستخدمين المصرح لهم الذين يعرفون `syncId` الخاص بمساحة عمل أخرى قراءة مؤشرات تدفق البيانات الخاصة بها أو الكتابة فوقها أو حذفها، مما قد يؤدي إلى تخطي البيانات أو إعادة استيرادها.

يوجد خلل في التصريح يسمح للمستخدمين الذين يمتلكون صلاحيات `access dashboard` بإنشاء حسابات مسؤول ومنح الأذونات. يتم ذلك عن طريق استدعاء الدوال `CreateTeamMember::store()` أو `Permissions::togglePermission()` مباشرة عبر نقطة النهاية `/livewire/update` مما يؤدي إلى تصعيد الصلاحيات إلى مسؤول كامل.

يؤدي فقدان التصريح في معالجات AJAX القديمة الموجودة تحت public/main/inc/ajax/ إلى السماح للمستخدمين غير المصرح لهم أو ذوي الصلاحيات المنخفضة بجمع أسماء المستخدمين وملفات شهادات PDF الخاصة بمتعلمين آخرين. يتم ذلك عن طريق استدعاء الدوال `get users by group course()` و `user by all roles()` و `export all certificates()`.

يوجد خلل في تجاوز الصلاحيات في دالة `isOpenMethod()` ضمن `commonModel`. يسمح هذا الخلل للمستخدمين المسجلين بتجاوز فحوصات قائمة التحكم في الوصول (ACL) القائمة على المجموعات لأي طريقة تحتوي على كلمة 'ajax'. وبناءً على ذلك، يمكن للمستخدمين ذوي الصلاحيات الدنيا استدعاء طرق مثل `task.ajaxGetByID` و `system.ajaxDBAuthUrl` و `admin.ajaxChangeTableEngine` لقراءة البيانات، والحصول على بيانات اعتماد قاعدة البيانات، وتشغيل وظائف التكامل المستمر (CI)، وتعديل جداول قاعدة البيانات.

يوجد خلل في التصريح في الدالة `openAnswerGrade()` ضمن `AiController`. يسمح هذا الخلل لأي مستخدم مصرح له بالوصول إلى تصحيح الذكاء الاصطناعي لمحاولات امتحان طلاب آخرين. من خلال تعداد متغيرات `exeId` و `questionId` المرسلة إلى نقطة النهاية 'open answer grade'، يمكن للمهاجم كشف إجابات الطلاب الآخرين من خلال الملاحظات واستهلاك حصة الذكاء الاصطناعي.

يؤدي فقدان التحكم في الوصول في `GradebookController` إلى السماح للمستخدمين غير المصرح لهم بتعديل شهادات سجل الدرجات. يمكن للمهاجم التلاعب بتكوين الشهادة لأي دورة تدريبية من خلال طلب نقطة النهاية 'set default certificate' باستخدام أي `course id` و `document id`.

يوجد خلل في التصريح في نقطة النهاية 'ajax/testEmailSettings.php'. يسمح هذا الخلل لأي مستخدم مصرح له، بما في ذلك المستخدمون الذين لديهم صلاحيات القراءة فقط، بإرسال رسائل بريد إلكتروني عبر مرحل SMTP المكون. من خلال التلاعب بالمعاملات `testEmailAddress` و `fromAddress` يمكن للمهاجم إرسال رسالة اختبار محددة مسبقاً إلى أي مستلم مع تزوير عنوان المرسل.

يؤدي فقدان التصريح في نقاط النهاية 'ajax/deleteActivity.php' و 'ajax/editActivity.php' إلى السماح للمستخدمين الذين لديهم صلاحيات مستوى القراءة (READ) بتعديل أو حذف إدخالات النشاط. يمكن للمهاجمين المصرح لهم تقديم `activityID` عشوائي عبر طلبات GET أو POST لتعديل أو حذف سجل النشاط ومسار العمل (pipeline) للمرشحين وجهات الاتصال والشركات.

يمكن للمستخدمين المصرح لهم الوصول إلى بيانات مشاريع مستخدمين آخرين بسبب فقدان التصريح. من خلال معرفة معرف UUID الخاص بالمشروع، يمكن للمهاجم الاستعلام عن نقطة النهاية '/trpc' باستخدام إجراءات tRPC `publishedBuilds` و `findManyByIds` لاسترداد معلومات مثل سجل النشر، والعناوين، والنطاقات، وصور المعاينة، وأحدث عمليات البناء.

تسمح ثغرة مرجع كائن مباشر غير آمن للمستخدمين المصرح لهم بتعديل أو حذف تعليقات المستخدمين الآخرين. يحدث هذا لأن الدالتين `update()` و `destroy()` ضمن `CommentsController` تستخدمان طريقة `Comment.find` غير محددة النطاق تفتقر إلى فحوصات التفويض المناسبة. يمكن للمهاجم استغلال ذلك عن طريق إرسال طلبات PUT أو DELETE إلى نقطة النهاية '/comments/:id' باستخدام معرفات تسلسلية لتعديل أو حذف التعليقات المرتبطة بجهات الاتصال والحسابات والعملاء المحتملين والفرص التي يملكها مستخدمون آخرون.

يسمح خلل في التفويض للأعضاء المصرح لهم بتعديل إعدادات الخادم العامة. يتم ذلك من خلال استدعاء طفرة tRPC `others.updateSettings` دون امتلاك إذن `MANAGE SETTINGS`. يمكن للمهاجم استغلال ذلك لتعيين كلمة مرور للانضمام، أو تعطيل التسجيل، أو تعيين حدود الرفع إلى صفر، أو تبديل تحميل المكونات الإضافية، مما قد يؤدي إلى حرمان الأعضاء الآخرين من الخدمة.

يسمح وجود مرجع كائن مباشر غير آمن للمستخدمين المصرح لهم بإنشاء رسائل رد تلقائي لصناديق بريد عشوائية. من خلال تقديم قيمة `mbox` لمستخدم آخر، يمكن للمهاجم إرسال طلب POST إلى نقطة النهاية '/api/v2/armessages/' لحقن مواضيع ومحتويات رد تلقائي يتم التحكم فيها في إعدادات الضحية أو تعطيل إدارة الرد التلقائي الخاصة بهم عن طريق التسبب في أخطاء MultipleObjectsReturned.

يمكن للمستخدمين المصرح لهم عرض سجلات نشاط جميع المستخدمين بسبب فقدان التصريح في نقاط نهاية API `ListActivities` و `GetActivity` الخاصة بـ ActivityService. يمكن للمهاجمين ذوي الصلاحيات المنخفضة تعداد معرفات النشاط المتسلسلة للحصول على معرفات المنشئين، والطوابع الزمنية، ومراجع تعليقات المذكرات، بما في ذلك النشاط على المذكرات الخاصة بمستخدمين آخرين.

يمكن للمستخدمين المصرح لهم تعديل أو حذف أحداث التقويم الخاصة بمستخدمين آخرين، بما في ذلك الأحداث غير العامة المقتصرة على المالك. يحدث هذا بسبب فقدان التفويض في دالتي `onEditEvent()` و `onDeleteEvent()` ضمن CalendarUI. يمكن للمهاجم الذي يمتلك صلاحيات التعديل (EDIT) أو الحذف (DELETE) تقديم قيم `eventID` عشوائية للتلاعب بهذه الأحداث.