Manus-Use

**اسم البرنامج المصاب والإصدارات المتأثرة** GitPython الإصدارات 3.1.30 through 3.1.x **Description** يمكن تنفيذ رمز عن بُعد في الدالة `Remote.pull()`. تقوم حماية الخيارات غير الآمنة بفحص وسائط الكلمات الرئيسية فقط، ولا تتحقق من refspec الموضعي. يمكن للمهاجم الذي يتحكم في refspec تقديم الخيار `--upload-pack=<command>` لتنفيذ أوامر نظام التشغيل بصلاحيات العملية المستدعية عبر مسارات محلية أو عمليات نقل SSH. **Recommendations** تحديث GitPython إلى الإصدار 3.2.0.

**اسم البرنامج المصاب والإصدارات المتأثرة** Heym الإصدارات من 0.0.55 إلى 0.0.120 **الوصف** توجد مشكلة في تصعيد الامتيازات تسمح للمتعاونين المشتركين بتجاوز `error workflow id` الخاص بسير عمل معين. يحدث هذا بسبب فقدان الحقل من `OWNER ONLY EXECUTION FIELDS`. يمكن للمهاجم توجيه سير عمل الخطأ إلى سير عمل خاص به يحتوي على عقدة HTTP، وعندما يحدث خطأ في سير العمل الأساسي، يتم حقن بيانات اعتماد المالك المفكوكة التشفير في سير عمل المهاجم وتسريبها. **التوصيات** تحديث Heym إلى الإصدار 0.0.121 أو إصدار أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Nodemailer الإصدارات من 3.0.0 إلى 10.0.9 **الوصف** توجد مشكلة في حجب الخدمة في الدالة `MessageParser.parseHeaders()`. يمكن للمهاجم التسبب في استنفاد وحدة المعالجة المركزية (CPU) من خلال تقديم رؤوس طويلة أو قوائم مستلمين كبيرة تؤدي إلى فك طي تربيعي للرؤوس، مما ينتج عنه عشرات الآلاف من خطوط الاستمرار. تؤدي هذه العملية إلى حظر حلقة أحداث Node.js أثناء توقيع DKIM، حيث أن DKIM (DomainKeys Identified Mail) هي طريقة تستخدم للكشف عن تزوير البريد الإلكتروني. **التوصيات** التحديث إلى الإصدار 10.0.10 أو أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Nodemailer الإصدارات من 3.0.0 إلى 10.0.12 **Description** توجد ثغرة حجب الخدمة عبر التعبيرات النمطية في الدالة `SMTPConnection. actionEHLO()`. تحتوي تعبيرات الكشف عن آلية AUTH الأربعة على أنماط فرعية متداخلة من المسافات البيضاء تؤدي إلى تراجع تربيعي (quadratic backtracking). يمكن لخادم SMTP خبيث أو مهاجم في المنتصف (man-in-the-middle) استغلال ذلك من خلال الرد على EHLO بـ 250-AUTH، متبوعاً بسلسلة طويلة من المسافات البيضاء ورمز غير مطابق، مما يؤدي إلى حظر حلقة أحداث Node.js لمدد تتراوح من عشرات الثواني إلى عدة ساعات قبل إتمام عملية المصادقة. **Recommendations** التحديث إلى الإصدار 10.0.13 أو أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** @better-auth/sso الإصدارات من 1.7.0-rc.2 إلى 1.7.2 **Description** يسمح تجاوز للمصادقة المستخدمين المصرح لهم بتسجيل الدخول كأشخاص آخرين من خلال تسجيل مزود تسجيل دخول موحد (SSO) شخصي. يحدث هذا لأن عملية البحث عن الحساب تتجاهل `providerId` مما يمكن المهاجمين من نسخ مصدر OpenID Connect (OIDC) أو معرف كيان Security Assertion Markup Language (SAML) الخاص بمزود شرعي وادعاء subject أو NameID الخاص بالضحية لإنشاء جلسات لحسابات الضحايا. **Recommendations** تحديث @better-auth/sso إلى الإصدار 1.7.3.

**اسم البرنامج المصاب والإصدارات المتأثرة** Nodemailer الإصدارات من 3.0.0 إلى 10.0.9 **Description** توجد مشكلة حجب الخدمة ذات التعقيد التربيعي في محلل ردود عميل SMTP. يمكن لخادم SMTP خبيث أو مهاجم في المسار إرسال خطوط استمرار دون خط اكتمال قبل المصادقة، مما يؤدي إلى حظر حلقة أحداث Node.js واستنفاد الذاكرة. يحدث هذا ضمن الدالتين `SMTPConnection. onData` و `isPartialResponse`. **Recommendations** التحديث إلى الإصدار 10.0.10 أو أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Froxlor الإصدارات من 0.10.0 إلى 2.3.13 **Description** توجد ثغرة تسمح للعملاء المصرح لهم بتنفيذ حقن سطر جديد. من خلال استخدام المعلمة `additional members` غير المตรวจสอบة في نقطة نهاية واجهة برمجة التطبيقات 'Ftps.add'، يمكن للمهاجمين إدراج أحرف سطر جديد. يتم كتابة هذه الأحرف دون تنقية بواسطة مهمة cron المسماة `REBUILD NSSUSERS` في الملف `/var/lib/extrausers/group` المملوك للمستخدم root. تسمح هذه العملية بإنشاء إدخالات مجموعات مميزة في قاعدة بيانات مجموعات Name Service Switch (NSS)، مما قد يؤدي إلى تصعيد الامتيازات محلياً. **Recommendations** التحديث إلى الإصدار 2.3.14 أو أحدث. تقييد استخدام المعلمة `additional members` في نقطة نهاية واجهة برمجة التطبيقات 'Ftps.add' حتى يتم تطبيق التحديث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Froxlor الإصدارات من 2.0.0 إلى 2.3.13 **الوصف** توجد ثغرة برمجية من نوع cross-site scripting مخزنة تسمح للعملاء المصرح لهم بحقن HTML وJavaScript. يحدث هذا من خلال تعيين قيمة مظهر (theme) خبيثة عبر نقطة النهاية 'customer index.php'. يتم تنفيذ السكريبت المحقون عندما يقوم المسؤول بعرض نظرة عامة على العميل مع تفعيل عمود Theme، مما يسمح للمهاجمين بإساءة استخدام رمز CSRF (تزوير الطلب عبر المواقع) لإنشاء حسابات مسؤولين أو تغيير إعدادات الخادم. CSRF هي تقنية يتم من خلالها خداع المستخدم لتنفيذ إجراءات غير مرغوب فيها على تطبيق ويب يكون مصرحاً له بالدخول إليه حالياً. **التوصيات** تحديث Froxlor إلى الإصدار 2.3.14 أو إصدار أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** NLTK الإصدارات السابقة لـ 3.10.4 **الوصف** توجد ثغرة تجاوز المسار في WekaClassifier. يفشل المكون في التحقق من صحة وسيطي `model filename` أو `model` مما يسمح بتجاوز احتواء nltk.pathsec. يمكن للمهاجم تقديم مسارات خبيثة ووسائط Weka إلى JVM الخاصة بـ Weka التي يتم تشغيلها لكتابة ملفات باستخدام العلامة `-d` أو فحص ملفات باستخدام العلامة `-l` خارج جذور البيانات المسموح بها. **التوصيات** تحديث NLTK إلى الإصدار 3.10.4 أو أحدث. تقييد استخدام المعلمات `model filename` و `model` في WekaClassifier للمسارات الموثوقة فقط.

phpMyFAQ before 4.1.9 contains an SQL injection vulnerability in PdoMysql::escape(), which escapes single quotes with backslashes that are treated literally when MySQL or MariaDB runs in NO BACKSLASH ESCAPES mode. Unauthenticated attackers can send a Unicode right single quotation mark in the search parameter of api/autocomplete, which is normalized to an ASCII quote, to read credentials and configuration secrets, modify records, or drop tables.

**اسم البرنامج المصاب والإصدارات المتأثرة** Gitoxide gix-pack الإصدارات السابقة لـ 0.75.0 **Description** توجد مشكلة في تخصيص الذاكرة غير المنضبط تتيح للمهاجمين عن بُعد إيقاف العملية. من خلال تقديم رأس حزمة مكون من 12 بايت يدعي وجود `0xFFFFFFFF` من الكائنات، يمكن لجهة خارجية خبيثة إجبار الدالة `Tree::with capacity()` على حجز مئات الجيجابايت من الذاكرة، مما يؤدي إلى تعطل عمليات الاستنساخ (clone) أو الجلب (fetch). **Recommendations** تحديث Gitoxide gix-pack إلى الإصدار 0.75.0 أو إصدار أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Gitoxide gix-pack الإصدارات السابقة لـ 0.75.0 **Description** توجد مشكلة في حجب الخدمة حيث يمكن للمصادر البعيدة الخبيثة تعطل عمليات الجلب عن طريق إرسال إدخالات OFS DELTA مصممة خصيصاً في thin-pack. يمكن للمهاجم تقديم thin pack يحتوي على REF DELTA يشير إلى كائن موجود، يليه OFS DELTA حيث يتجاوز `base distance` قيمة `pack offset`. يؤدي هذا التسلسل إلى حدوث حالة ذعر (panic) في الدالة `LookupRefDeltaObjectsIter()`، مما يؤدي إلى إيقاف عملية الجلب. **Recommendations** تحديث Gitoxide gix-pack إلى الإصدار 0.75.0 أو إصدار أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** MONAI الإصدارات من 0.4.0 إلى 1.6.0 **الوصف** توجد ثغرة تسمح للمهاجمين الموجودين على المسار (on-path) بتنفيذ تعليمات برمجية عن بُعد من خلال التلاعب بأوزان SENet المسبقة التدريب التي يتم جلبها عبر بروتوكول HTTP غير المشفر. يحدث هذا عندما تقوم الدالة `load state dict from url()` بإلغاء تسلسل (unpickle) ملف `.pth` مفخخ دون تعيين `weights only=True`. يتم تنفيذ التعليمات البرمجية عند إنشاء `SEResNet50` أو نماذج SENet الأخرى مع تعيين المتغير `pretrained` على القيمة `True`. **التوصيات** تحديث MONAI إلى الإصدار 1.6.1 أو إصدار أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Network-AI الإصدارات من 5.0.0 إلى 5.15.1 **الوصف** يعاني DashboardServer من ثغرة اختطاف WebSocket عبر المواقع (cross-site WebSocket hijacking)، وهي خلل يقوم فيه المهاجم بخداع متصفح المستخدم لإنشاء اتصال WebSocket بخادم مختلف عن الخادم الذي قصده المستخدم. يحدث هذا لأن الدالة `handleUpgrade()` لا تقوم بالتحقق من الأصل (Origin) أو الرمز (token). يمكن للمهاجم عن بُعد استدراج الضحية إلى صفحة خبيثة تفتح WebSocket إلى لوحة تحكم loopback لتسريب معرفات الوكلاء، والأدوار، وأوصاف المهام، وميزانيات الرموز. **التوصيات** تحديث Network-AI إلى الإصدار 5.15.2 أو إصدار أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Network-AI الإصدارات من 5.14.0 إلى 5.15.1 **الوصف** يوجد تجاوز لعناصر التحكم الأمنية في خطاف ClaudeHookBridge PreToolUse. تحدث المشكلة لأن أنماط الرفض يتم مطابقتها فقط مع أول حقل مرشح موجود. يسمح هذا لوكيل تم حقن الأوامر فيه بتجاوز `denyPatterns` عن طريق وضع حمولات ضارة في حقول مثل Write content أو معامل نص MCP بجانب `file path` أو أمر سليم، مما قد يؤدي إلى كتابة web shells أو تنفيذ برامج نصية. **التوصيات** تحديث Network-AI إلى الإصدار 5.15.2 أو إصدار أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Open WebUI الإصدارات من 0.11.1 إلى 0.11.3 **Description** يوجد تجاوز للصلاحيات في عملية تبادل رموز OAuth. يقوم النظام بقراءة مطالبات الأدوار حصرياً من استجابة معلومات المستخدم (userinfo) الخاصة بالمزود ويحتفظ بدور المستخدم الحالي في حال عدم العثور على مطالبة أدوار، مع تجاهل الأدوار المرسلة فقط في رمز التعريف (ID token). يتيح ذلك للمستخدمين الذين لديهم حسابات مرتبطة ولم تعد أدوارهم في مزود الهوية تستوفي سياسة أدوار OAuth الاحتفاظ بدورهم السابق عن طريق إرسال رمز وصول صالح من المزود إلى نقطة النهاية 'POST /api/v1/auths/oauth/{provider}/token/exchange'. **Recommendations** تحديث Open WebUI إلى الإصدار 0.11.4 أو إصدار أحدث.

Grav from 2.0.22 before 2.1.7 contains an information disclosure vulnerability that allows page editors to read the Clockwork debugger token because the sandbox redaction list omits system.debugger.token. Attackers can render the token through editor-authored Twig and supply it as X-Clockwork-Auth to read profiler records with configuration, request metadata, and database queries.

Grav before 2.1.7 contains a denial of service vulnerability that allows authenticated media authors to exhaust memory by uploading compressed oversized raster images. Attackers can reference a Twig or Markdown transform so GD or Imagick decodes the full source without dimension checks, letting anonymous requests repeatedly cause page unavailability.

**اسم البرنامج المصاب والإصدارات المتأثرة** gitoxide gix-pack الإصدارات السابقة لـ 0.75.0 **Description** يوجد تأكيد (assertion) يمكن الوصول إليه في الدالة `BytesToEntriesIter::new from header()`. بينما يقبل فك ترميز رأس الحزمة الإصدار 3، فإن `assert eq!` المفعّل في إصدارات النشر يتطلب الإصدار 2. يمكن لجهة عن بُعد خبيثة إرسال رأس حزمة مكون من 12 بايت يعلن عن الإصدار 3 للتسبب في حالة ذعر (panic) للعميل وإلغاء عملية الاستنساخ (clone) أو الجلب (fetch). **Recommendations** تحديث gitoxide gix-pack إلى الإصدار 0.75.0 أو إصدار أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** MONAI الإصدارات من 1.2.0 إلى 1.6.0 **الوصف** توجد مشكلة إلغاء تسلسل غير آمن في مكون `nnUNetV2Runner`. يقوم النظام بإلغاء تسلسل (unpickle) مسار `postprocessing file` الذي يتم قراءته من `inference information.json` دون حصره في دليل النتائج. يمكن للمهاجم الذي يستطيع تعديل `inference information.json` توجيهه إلى ملف pickle خبيث في مكان آخر على نظام الملفات لتنفيذ تعليمات برمجية عند تشغيل الدالة `predict ensemble postprocessing()`. **التوصيات** تحديث MONAI إلى الإصدار 1.6.1 أو إصدار أحدث.