Lza

يوجد خلل في تجاوز التفويض في ملحق خادم SIWX. يمكن للعملاء الذين يدفعون فتح مسارات غير مدفوعة عن طريق تقديم عنوان URL غير متطابق في `PaymentPayload.resource`. يسمح هذا للمهاجم بالدفع مقابل أرخص مسار محمي بـ SIWX مع تحديد مسار عالي التكلفة في متغير `resource.url` ، مما يتيح الوصول المتكرر إلى المسار المكلف باستخدام ترويسة SIGN-IN-WITH-X فقط دون دفع مبالغ إضافية.

تحدث ثغرة حقن كيان خارجي في XML (XXE) عندما يعالج البرنامج لغة XML عبر مثيل DocumentBuilderFactory غير محصّن، مع تمكين تحميل الكيانات الخارجية وملفات DTD. يمكن للمهاجمين المصادق عليهم استغلال هذه الثغرة عن طريق تزويد نقطة النهاية ’doEditWorkflow‘ بحمولة `taskScript` مصممة خصيصًا. وهذا يسمح بتزوير الطلبات من جانب الخادم (SSRF)، حيث يُجبر الخادم على إرسال طلبات HTTP صادرة إلى البنية التحتية التي يسيطر عليها المهاجم، وتسريب الملفات المحلية خارج النطاق التي يمكن لمستخدم عملية TIS قراءتها، مثل ملفات التكوين وبيانات اعتماد قاعدة بيانات Derby.

توجد مشكلة وصول غير مصرح به بسبب وجود سر توقيع JWT مبرمج بشكل ثابت داخل ملف `application-maxkey.properties`. وهذا يسمح للمهاجمين غير المصادق عليهم بتزوير رموز JSON Web Tokens (JWT) صالحة — وهي وسيلة مدمجة وآمنة لعناوين URL لتمثيل المطالبات المراد نقلها بين طرفين — والمصادقة كأي مستخدم. من خلال استخدام آلية تسجيل الدخول بدون كلمة مرور، يمكن للمهاجمين توقيع رمز باستخدام السر الافتراضي وإرساله إلى نقطة النهاية `/sign/login/jwt/trust` للحصول على جلسة عمل مصادق عليها للمسؤول، مما يمنحهم حق الوصول إلى تكوينات تطبيق SSO وأسرار التطبيقات التابعة.

توجد ثغرة في GlueFactory تسمح بتنفيذ نصوص برمجية Groovy خارج بيئة الحماية (unsandboxed) من حقول قوالب قاعدة البيانات دون قيود على الترجمة أو قائمة بيضاء. يمكن للمهاجمين التلاعب بحقل النص البرمجي من خلال نقاط نهاية قوالب الرسائل لتنفيذ تعليمات برمجية Groovy تعسفية وأوامر نظام التشغيل على الخادم الخلفي.