Manop55555

**اسم البرنامج المصاب والإصدارات المتأثرة** Hono الإصدارات 4.12.4 through 4.13.10 **Description** يوجد تجاوز لبرمجية الوسيط (middleware bypass) في الدالة `serveStatic`. يمكن للمهاجمين غير المصرح لهم تجاوز برمجية الوسيط البادئة عن طريق استغلال فك ترميز المسار المزدوج، وذلك بإرسال مسارات مشفرة بنسبة مئوية (percent-encoded) مشوهة يطابقها الموجه في شكلها المشفر. يسمح هذا بالوصول غير المصرح به إلى الملفات الثابتة من خلال تخطي فحوصات المصادقة. **Recommendations** تحديث Hono إلى الإصدار 4.13.11 أو أحدث.

Unauthenticated Cross Site Scripting (XSS) in Classified Listing <= 6.1.3 versions.

**Name of the Vulnerable Software and Affected Versions** pypdf versions prior to 6.19.0 **Description** A crafted PDF containing specific form field values can trigger a performance issue during appearance-stream generation within the `pypdf/generic/ appearance stream.py` file. This occurs when an application updates fields with flattening enabled, causing the system to repeat invariant selection-data work inside a loop. This inefficiency leads to excessive runtimes and can result in application unavailability. **Recommendations** Update to version 6.19.0.

**Name of the Vulnerable Software and Affected Versions** pypdf versions prior to 6.19.0 **Description** A crafted PDF file can contain unusually large alphabetical page-label values. When an application retrieves document page labels, the `pypdf/ page labels.py` module generates strings that exceed a reasonable length, leading to excessive memory consumption and potentially causing the application to become unavailable. **Recommendations** Update to version 6.19.0.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات MC Woocommerce Wishlist الأقدم من 1.9.20 **الوصف** توجد ثغرة أمنية من نوع «التنفيذ عبر المواقع» (XSS) دون مصادقة، تتيح للمهاجم تنفيذ نصوص برمجية ضارة في متصفح المستخدم دون الحاجة إلى مصادقة مسبقة. **التوصيات** قم بتحديث MC Woocommerce Wishlist إلى الإصدار 1.9.20 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات GeoDirectory الأقدم من 2.8.163 **الوصف** يوجد في البرنامج ثغرة «حقن SQL» دون مصادقة. «حقن SQL» هو نوع من الثغرات الأمنية التي تسمح للمهاجم بالتدخل في الاستعلامات التي يرسلها التطبيق إلى قاعدة البيانات الخاصة به، مما قد يتيح له الاطلاع على بيانات لا يمكنه عادةً استرجاعها. **التوصيات** قم بالتحديث إلى إصدار أحدث من 2.8.162.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات pypdf الأقدم من 6.12.2 **الوصف** يمكن للمهاجم إنشاء ملف PDF يؤدي إلى فترات تشغيل طويلة. ويحدث ذلك عند الوصول إلى دفق يستخدم مرشح `/FlateDecode` مع متنبئ PNG. **التوصيات** قم بالتحديث إلى الإصدار 6.12.2. كحل مؤقت، قم بتطبيق التغييرات الواردة في PR #3806.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات pypdf الأقدم من 6.12.2 **الوصف** يسمح ثغرة في مكتبة PDF المكتوبة بلغة Python الخالصة للمهاجم بإنشاء ملف PDF يتسبب في استهلاك مفرط للذاكرة. ويحدث ذلك عند استخراج نص من صفحة تحتوي على كائن XObject (كائن PDF قابل لإعادة الاستخدام) يتضمن إشارات ذاتية. **التوصيات** قم بالتحديث إلى الإصدار 6.12.2. كحل مؤقت، قم بتطبيق التغييرات الواردة في PR #3805.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Nuxt الأقدم من 3.21.7 إصدارات Nuxt الأقدم من 4.4.7 **الوصف** يفشل مكون `<NuxtLink>` في التحقق من صحة نظام عناوين URL للقيم المرتبطة بخصائص `to` أو `href` الخاصة به قبل عرضها في السمة `href` للعنصر `<a>` الأساسي. إذا ربط تطبيق ما مدخلات يسيطر عليها المهاجم بهذه الخصائص، فيمكن للمهاجم تقديم عنوان URL من نوع `javascript:` أو `vbscript:`. عند النقر عليه، يؤدي ذلك إلى تنفيذ البرنامج النصي في مصدر التطبيق، مما يؤدي إلى حدوث هجوم برمجة عبر المواقع (XSS) انعكاسي قائم على DOM، وهي ثغرة أمنية يتم فيها تنفيذ برنامج نصي في متصفح المستخدم بسبب فشل التطبيق في تنقية المدخلات. بالإضافة إلى ذلك، يمكن استخدام حمولة `data:text/html,...` لإنشاء سطح تصيد احتيالي في علامة التبويب نفسها. تؤثر هذه المشكلة أيضًا على التطبيقات التي تعيد ربط خصائص `href` و`route.href` من الفتحة المخصصة للمكون إلى نقاط الربط الخاصة بها. **التوصيات** التحديث إلى الإصدار 3.21.7 أو أحدث. التحديث إلى الإصدار 4.4.7 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات pypdf الأقدم من 6.12.1 **الوصف** يمكن للمهاجم إنشاء ملف PDF يتسبب في استهلاك مفرط للذاكرة أثناء تحليل بيانات تعريف XMP كبيرة الحجم، والتي قد تحتوي على العديد من العناصر غير الضرورية. **التوصيات** التحديث إلى الإصدار 6.12.1.