Lujiefsi

يمكن للمستخدمين الموثقين عبر واجهة الويب أو واجهة برمجة التطبيقات (API) الذين لديهم وصول مفوض إلى إعدادات معينة حقن أحرف Return Carriage (CR) أو Line Feed (LF) في الحقول المخصصة لسطر واحد. يؤدي ذلك إلى إمكانية إدراج توجيهات أو خطوط سياسة يتحكم فيها المهاجم داخل ملفات تكوين الخدمات ذات الامتيازات. في مسار Dnsmasq، تشمل المتغيرات المتأثرة `dhcp boot.filename` و `dhcp boot.servername` و `dhcp boot.address` و `dhcp options.value` والتي يتم وضعها في ملف `/usr/local/etc/dnsmasq.conf` عبر نقطة النهاية `api/dnsmasq/*`. تشمل المجالات المتأثرة الأخرى OpenVPN و DHCPv6 و Unbound و IPsec و NTP و PPP أو MPD و Monit وجدار الحماية و sudo و WebGUI وتكوينات النظام العامة. قد يؤدي الاستغلال إلى تغيير سلوك الخدمة، أو إنشاء ملفات من جانب الخدمة، أو تجاوز حدود التحكم في الوصول القائم على الأدوار (RBAC)، أو التسبب في حجب الخدمة. وبشكل محدد، أظهر حقن الأسطر من خلال كلمة مرور بريد Monit وحقول النصوص المجاورة في ملف `/usr/local/etc/monitrc` إمكانية تنفيذ أوامر بصلاحيات root.

يوجد خلل في تجاوز المصادقة في ميزة التجوال الخاصة بالبوابة الأسيرة (captive portal). يمكن للمهاجمين غير المصرح لهم على نفس قطعة الطبقة الثانية (Layer-2) اختطاف جلسات العملاء المصرح لهم عن طريق تزييف ملاحظات MAC-to-IP غير المصادق عليها. يتم ذلك من خلال إرسال ردود ARP (بروتوكول دقة العنوان) مجانية مزيفة—وهي رسائل تُستخدم لتحديث ذاكرة التخزين المؤقت لـ ARP في الأجهزة الأخرى—لربط عنوان IP الخاص بالمهاجم بعنوان MAC الخاص بالضحية، مما يمنح المهاجم وصولاً إلى البوابة مع نسب حركة المرور إلى الضحية.

OpenWrt LuCI contains an overly permissive ACL definition in luci-mod-system-mounts that grants write access to /etc/crontabs/root to users intended only for mount configuration. Authenticated users with only the mount-configuration ACL group can append arbitrary cron entries via ubus file.write, which the default busybox crond daemon executes as root within one minute.

توجد ثغرة في البرمجة النصية عبر المواقع (XSS) المخزنة في حقل اسم قائمة الحظر، وتتعلق على وجه التحديد بالمتغير `file url.name`. وهذا يسمح للمستخدمين ذوي الصلاحيات المحدودة بإدخال كود HTML نشط. يتم تنفيذ الحمولة المُدرجة داخل متصفح المسؤول تحت مصدر LuCI عندما يصل المسؤول إلى صفحة حالة AdBlock Fast.

توجد مشكلة تتيح للمستخدمين المصادق عليهم إدخال كود HTML نشط عبر المعلمة `resolver url`. ويؤدي ذلك إلى حدوث حالة «البرمجة النصية عبر المواقع» (XSS) المخزنة — وهي ثغرة أمنية يتم فيها تخزين البرامج النصية الخبيثة بشكل دائم على الخادم المستهدف — والتي تُنفذ جافا سكريبت في مصدر متصفح المسؤول عند عرض صفحة حالة وكيل DNS عبر HTTPS.

تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored cross-site scripting) عندما يقوم عملاء شبكة LAN غير مصدقين بإدخال جافا سكريبت عبر طلبات SOAP الخاصة بـ UPnP IGD AddPortMapping. تنشأ المشكلة لأن حقل `NewPortMappingDescription` قد يحتوي على كود HTML ضار، يتم تخزينه بواسطة miniupnpd ثم عرضه بواسطة luci-app-upnp دون ترميز الإخراج. وهذا يسمح بتنفيذ الحمولة الضارة عندما يصل المسؤولون إلى صفحات UPnP أو صفحات الحالة.

يفشل LuCI في ترميز أسماء مضيفات عقود DHCPv6 بشكل صحيح قبل عرضها في جداول الحالة. وهذا يسمح للمهاجمين الموجودين على نفس الشبكة بحقن علامات HTML عن طريق إرسال اسم نطاق كامل (FQDN) لعميل DHCPv6 يحتوي على علامات نصوص برمجية. يتم تنفيذ هذه النصوص البرمجية في متصفح المسؤول عند عرض صفحات عقود DHCP.

يسمح خلل في التحقق من الأذونات في Navidrome لأي مستخدم عادي مسجل الدخول بتجاوز عمليات التحقق من التفويض وتنفيذ عمليات تكوين التحويل الرقمي الحصرية للمسؤول، بما في ذلك إنشاء إعدادات التحويل الرقمي وتعديلها وحذفها. توجد هذه الثغرة الأمنية في نقاط نهاية واجهة برمجة التطبيقات (API) التي تدير إعدادات التحويل الرقمي، مثل `POST /api/transcoding` و`PUT /api/transcoding/:id` و`DELETE /api/transcoding/:id` و`GET /api/transcoding`. يفشل التطبيق في التحقق بشكل صحيح مما إذا كان المستخدم يتمتع بامتيازات إدارية عند معالجة طلبات إعدادات التحويل الرقمي، على الرغم من أن رمز JWT يشير بوضوح إلى أن المستخدم ليس مسؤولاً (`”adm“:false`).

A vulnerability has been found in the HTTP RPC API component of ThingsBoard, which can lead to resource consumption. The attack can be launched remotely, but the complexity of an attack is rather high and the exploitation appears to be difficult. The issue is classified as problematic and affects an unknown functionality of the component.

An issue in OpenStack Storlets yoga-eom allows a remote attacker to execute arbitrary code via the gateway.py component.

The issue allows a remote attacker to execute arbitrary code via the gateway.py component.

An issue in the software allows a remote attacker to execute arbitrary code via the `cert manager.py` component.

The issue is related to session fixation, where a session remains valid after a password change. This could potentially allow unauthorized access. Users are advised to upgrade to a version that fixes this issue.

The issue affects an open source ticket reservation system, allowing an attacker to access data from other organizers by using a specially crafted request to receive the e-mail log sent by other events.

Alf.io is a free and open source event attendance management system. The issue allows users to access the admin area even after being invalidated or deleted. There are no known workarounds for this issue. All users are advised to upgrade to version 2.0-M4-2402 to address this issue.

iTop is an IT service management platform. When creating or updating an object, extkey values aren't checked to be in the current user silo. By forging an HTTP request, a user can create objects pointing to out of silo objects, such as a UserRequest in an out of scope Organization.

Metersphere is an open-source testing framework. Files uploaded to Metersphere may define a `belongType` value with a relative path like `../../../../` which may cause Metersphere to attempt to overwrite an existing file in the defined location or to create a new file. Attackers would be limited to overwriting files that the Metersphere process has access to.

Metersphere is an open source continuous testing platform. In the affected versions, some key APIs lack permission checks, allowing ordinary users to execute APIs that can only be executed by space administrators or project administrators. For example, ordinary users can be updated as space administrators.

The API interface for DataEase delete dashboard and delete system messages is vulnerable to insecure direct object references (IDOR). This could result in a user deleting another user's dashboard or messages or interfering with the interface for marking messages read. The vulnerability allows an attacker to delete dashboards or messages of other users by manipulating the request, for example, by replacing the ID of the dashboard or message with the ID of another user's dashboard or message. The interface for marking read messages is also affected.

The issue is related to a missing permission check on the user profile in CloudExplorer Lite, an open source cloud management tool. This allows users to add themselves to any organization. There is no information provided about the estimated number of potentially affected devices worldwide or real-world incidents where this issue was exploited.