Maru1009

يحتوي ملحق Nostr Wallet Connect على خلل يسمح للعملاء الخبيثين بتجاوز حدود الإنفاق. يتم ذلك من خلال استغلال عمليات التحقق من الميزانية غير الذرية واقتطاع الميلي ساتوشي. يمكن للمهاجمين إرسال طلبات `pay invoice` متزامنة تجتاز فحص `budget allows spend()` قبل تنفيذ دالة `add to budget()`. بالإضافة إلى ذلك، يمكن للمهاجمين دفع مبالغ متكررة بالميلي ساتوشي (msat) التي يتم تقريبها إلى ساتوشي كامل لسحب الأموال بما يتجاوز متغير `daily limit sat`.

An incomplete fix for `Error.cause` sanitization allows a sandbox escape when revisited host-wrapped `AggregateError` objects are caught within a single exception handler traversal. Attackers can exploit a cycle detection bypass in the `handleException()` function to access unsanitized host proxies embedded in the `errors` array, enabling full remote code execution and process information disclosure from the sandbox.

يمكن لمهاجم عن بُعد غير مصدق أن يتسبب في تلف الذاكرة في مسار ترقية WebSocket لخادم HTTP. تحدث هذه المشكلة لأن محلل رأس HTTP/1 يستخدم نسخة محدودة لنقل رأس `Sec-WebSocket-Key` إلى مخزن مؤقت ذي حجم ثابت دون ضمان إنهاء NUL عندما يساوي طول الإدخال حجم المخزن المؤقت. أثناء عملية الترقية، يتم نسخ هذا المخزن المؤقت إلى مخزن مؤقت محلي في المكدس وتتم معالجته بواسطة الدالة `strlen()`. في حالة عدم وجود علامة إنهاء NUL، تقرأ الدالة `strlen()` ما وراء حدود مخزن المكدس المؤقت، ويؤدي التسلسل اللاحق مع السلسلة السحرية لـ WebSocket إلى كتابة خارج الحدود. ويؤدي ذلك إلى عمليات قراءة وكتابة خارج الحدود على ذاكرة المكدس، مما قد يتسبب في تعطل النظام (رفض الخدمة) أو قد يسمح بتنفيذ تعليمات برمجية عشوائية. يمكن الوصول إلى هذا المسار عند تمكين `CONFIG HTTP SERVER WEBSOCKET`.

يفشل نظام إدارة المحتوى Concrete CMS في التحقق من صحة رمز تزوير الطلبات عبر المواقع (CSRF) — وهو قيمة فريدة تُستخدم لمنع إرسال أوامر غير مصرح بها من مستخدم يثق به تطبيق الويب — قبل معالجة الطلبات الموجهة إلى نقطة النهاية ’/dashboard/extend/update/prepare remote upgrade/<remoteMPID>‘. يمكن للمهاجم الذي يتحكم في الحزمة البعيدة التي يتم إرجاعها لمعرف عنصر معروف في السوق أن يقوم بالكتابة فوق ملف PHP الخاص بالحزمة على القرص وإجبار الدالة `upgrade()` على التنفيذ عبر عملية تنقل واحدة في المتصفح. يؤدي هذا إلى تنفيذ التعليمات البرمجية عن بُعد بصفته مستخدم خادم الويب. ولكي يكون ذلك ممكنًا، يجب أن يتمتع الضحية بأذونات `canInstallPackages`، ويجب أن يكون الموقع متصلاً بسوق Concrete، ويجب أن يتحكم المهاجم في الحزمة التي يتم إرجاعها لمعرف عنصر في السوق مثبت بالفعل على موقع الضحية.

يفشل Concrete CMS في التحقق من صحة رمز تزوير الطلبات عبر المواقع (CSRF) — وهو معرّف فريد يُستخدم لمنع إرسال أوامر غير مصرح بها من مستخدم يثق به التطبيق الويب — قبل معالجة الطلبات الموجهة إلى نقطة النهاية ’/dashboard/extend/update/do update/<pkgHandle>‘. تقوم الدالة `do update()` الموجودة في الملف ’concrete/controllers/single page/dashboard/extend/update.php‘ بالتحقق فقط من شرط `canInstallPackages()` قبل تنفيذ `upgradeCoreData()` و`upgrade()` على وحدة التحكم الخاصة بالحزمة المحددة. نظرًا لأن نقطة النهاية هذه هي مسار GET يغير الحالة دون فرض رمز مميز، يمكن للمهاجم خداع مسؤول تمت مصادقته لحثه على تشغيل ترقية الحزمة من خلال التنقل عبر المواقع، شريطة أن يجتاز المسؤول فحص `canInstallPackages()` وأن تكون الحزمة المستهدفة مثبتة بالفعل.

يفشل Concrete CMS في التحقق من صحة رمز Cross-Site Request Forgery (CSRF) — وهو معرّف فريد يُستخدم لمنع إرسال أوامر غير مصرح بها من مستخدم يثق به التطبيق الويب — قبل معالجة الطلبات الموجهة إلى نقطة النهاية ’/dashboard/extend/install/download/<remoteId>‘. تقوم الدالة `download()` الموجودة في الملف ’concrete/controllers/single page/dashboard/extend/install.php‘ بالتحقق فقط من صلاحية `canInstallPackages()` قبل استرداد حزمة من السوق البعيد وحفظها في دليل `DIR PACKAGES` على الخادم. نظرًا لأن نقطة النهاية هذه هي مسار GET يغير الحالة دون فرض رمز مميز (token)، يمكن للمهاجم خداع مسؤول تمت مصادقته لزيارة صفحة ضارة لإجباره على تنزيل حزمة عشوائية من السوق. يتطلب ذلك أن يكون لدى المسؤول أذونات `canInstallPackages()` وأن يكون الموقع متصلاً بسوق Concrete.

توجد مشكلة تتعلق بتزوير الطلبات عبر المواقع (CSRF) في الأسلوب `install package()` في نقطة النهاية ’concrete/controllers/single page/dashboard/extend/install.php‘. يمكن للمهاجم إجبار مسؤول معتمد يتمتع بأذونات `canInstallPackages` على تثبيت حزمة ما إذا كان المهاجم قد وضع بالفعل حزمة في المجلد `DIR PACKAGES/<handle>/`. ونظرًا لأن عملية التثبيت تقوم بتنفيذ طريقة `install()` الخاصة بوحدة التحكم الخاصة بالحزمة بصفته مستخدم خادم الويب، فقد يؤدي ذلك إلى تنفيذ تعليمات برمجية عن بُعد.

يوجد ثغرة في التحقق من صحة الرمز المميز (CSRF) حيث تقوم طريقة العرض `local available update.php` بإصدار رمز مميز عبر `$token->output(’do update‘)`، لكن الدالة `do update()` الموجودة في `concrete/controllers/single page/dashboard/system/update/update.php` تفشل في استدعاء `$this->token->validate(’do update‘)`. على الرغم من أن النموذج يتم عرضه كنموذج POST، إلا أن وحدة التحكم تتجاهل الرمز دون التحقق منه. وهذا يسمح للمهاجم بصياغة طلب POST عبر المواقع لتشغيل تحديث أساسي لنظام إدارة المحتوى (CMS) إلى سلسلة إصدار يحددها المهاجم. ويتطلب ذلك أن يجتاز الضحية وظيفة `canUpgrade()` وأن يكون هناك إصدار تحديث صالح موجود ضمن `DIR CORE UPDATES`.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات SillyTavern الأقدم من 1.17.0 الوصف توجد ثغرة أمنية تتعلق باجتياز المسار في نقطة نهاية واجهة برمجة التطبيقات (API) `/api/chats/import`. يمكن لمهاجم تمت مصادقته كتابة ملفات في مواقع خارج دليل الدردشات المقصود عن طريق حقن تسلسلات اجتياز المسار في المعلمة `character name`. يتم استخدام المعلمة `character name` دون تنقية مناسبة عند إنشاء اسم الملف الوجهة. وهذا يسمح للمهاجم بالخروج عن بنية الدليل المقصودة وكتابة ملفات في مواقع عشوائية، مثل `/tmp/...`، مما قد يؤدي إلى مشكلات في سلامة البيانات وتوافرها. التوصيات الترقية إلى إصدار SillyTavern 1.17.0 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات SillyTavern الأقدم من 1.17.0 الوصف توجد ثغرة أمنية تتعلق باجتياز المسار في نقاط نهاية الدردشة في SillyTavern. يمكن لمهاجم تمت مصادقته قراءة وحذف ملفات عشوائية موجودة ضمن جذر بيانات المستخدم الخاصة به، مثل `secrets.json` و`settings.json`، من خلال التلاعب بالمعلمة `avatar url` بقيمة ”..“. لا يقوم مدقق صحة المدخلات الخاص بـ `avatar url` بحظر أجزاء التجاوز مثل `..` بشكل كافٍ، مما يسمح بإنشاء مسارات ملفات ضارة. تشمل نقاط النهاية المعرضة للخطر مسارات التصدير والحذف. وهذا يسمح بالوصول المباشر إلى الملفات خارج دليل الدردشات المقصود. قد يؤدي الاستغلال الناجح إلى الكشف عن بيانات المستخدم الحساسة وحذف الملفات الهامة، مما قد يؤدي إلى تعطيل تشغيل الحساب. التوصيات قم بالتحديث إلى إصدار SillyTavern 1.17.0 أو أحدث.

DiceBear هي مكتبة للأفاتار يستخدمها المصممون والمطورون. يوجد عيب في الدالة `ensureSize()` داخل المكون `@dicebear/converter`، في الإصدارات السابقة للإصدار 9.4.0، حيث تقرأ السمتين `width` و`height` من ملفات SVG المدخلة لتحديد حجم لوحة الرسم الناتجة لعمليات التحويل إلى صور نقطية مثل PNG وJPEG وWebP وAVIF. يمكن للمهاجم استغلال هذا الثغرة عن طريق تقديم ملف SVG مصمم خصيصًا بأبعاد كبيرة للغاية، مثل `width=”999999999“`. يمكن أن يؤدي هذا التلاعب إلى إجبار الخادم على تخصيص كمية مفرطة من الذاكرة، مما قد يؤدي إلى حالة رفض الخدمة. تؤثر هذه المشكلة بشكل أساسي على التطبيقات من جانب الخادم التي تعالج ملفات SVG غير موثوق بها أو مقدمة من المستخدم باستخدام دوال `toPng()` أو `toJpeg()` أو `toWebp()` أو `toAvif()` الخاصة بالمحول. وعلى الرغم من أن التطبيقات التي تقوم فقط بتحويل الصور الرمزية (أفاتار) التي تم إنشاؤها ذاتيًا بواسطة DiceBear لا يمكن استغلالها بسهولة، إلا أنه يُوصى بالترقية.

تسمح خطوات الترويج المدمجة في Kargo، وهي `http` و`http-download`، بتزوير الطلبات من جانب الخادم (SSRF) ضد عناوين link-local، وتحديدًا نقطة نهاية بيانات تعريف مثيل السحابة (169.254.169.254). توفر هذه الخطوات تحكمًا كاملاً في رؤوس الطلبات وطرقها، متجاوزةً بذلك إجراءات التخفيف الخاصة بتزوير الطلبات من جانب الخادم (SSRF) القائمة على رؤوس الطلبات التي يطبقها مزود الخدمة السحابية. يمكن للمهاجم المصادق عليه الذي يمتلك أذونات لإنشاء أو تحديث «المراحل» (Stages) أو إنشاء موارد «الترويج» (Promotion) استغلال هذه الثغرة عن طريق إرسال بيان «ترويج» ضار. ويمكن استرداد بيانات الاستجابة عبر حقول حالة «الترويج»، أو مستودعات Git، أو خطوة http ثانية. تتيح هذه المشكلة تسريب البيانات الحساسة، مثل بيانات اعتماد IAM. توفر خطوة `http` تحكمًا كاملاً في طريقة الطلب ورؤوسه، بينما توفر خطوة `http-download` التحكم في الرؤوس فقط.

تسمح أدوات المراقبة الاصطناعية (Synthetic Monitors) في OneUptime لمستخدم مسجل الدخول بامتيازات محدودة في المشروع بتنفيذ أوامر تعسفية على الخادم/الحاوية `oneuptime-probe`. السبب الجذري هو أن كودًا غير موثوق به من أداة المراقبة الاصطناعية يتم تنفيذه داخل `vm` الخاص بـ Node، في حين أن كائني `browser` و`page` التابعين لـ Playwright في بيئة المضيف معرضان له. يمكن لمستخدم ضار استدعاء واجهات برمجة تطبيقات (APIs) لـ Playwright في كائن `browser` المُحقن وجعل أداة المراقبة تطلق ملفًا قابلاً للتنفيذ يتحكم فيه المهاجم. تعد هذه ثغرة أمنية لتنفيذ التعليمات البرمجية عن بُعد على جانب الخادم ولا تتطلب هروبًا إضافيًا من صندوق الرمل `vm`. يستخدم جهاز الاستشعار الإصدار 1.58.2 من Playwright، مما يسمح بالاستغلال من خلال الدالة `BrowserType.launch()` باستخدام معلمات يتحكم فيها المهاجم، مثل `executablePath` و`args`. يمكن استغلال الثغرة الأمنية سواء من خلال الاختبارات المحددة للمراقب أو من خلال التشغيل العادي للمراقب المجدول.

لا تقوم وظيفة الاستدعاء (callback) لتطبيق GitHub الخاص بـ OneUptime بالتحقق بشكل صحيح من صحة قيمتي `state` و`installation id` المستلمتين من المستخدم، مما يسمح للمهاجم بالكتابة فوق ارتباط تثبيت تطبيق GitHub الخاص بمشروع آخر. تقوم وظيفة الاستدعاء بفك تشفير JSON المشفر بـ base64 للمعلمة `state` وتستخدم `projectId` المضمنة مباشرةً. ثم يقوم بتحديث `Project.gitHubAppInstallationId` بقيمة `isRoot: true` دون التحقق من تفويض المستدعي للمشروع الهدف. كما أن نقاط نهاية GitHub ذات الصلة تفتقر إلى التفويض الفعال، مما يسمح باستخدام معرّف تثبيت صالح لتعداد المستودعات وإنشاء سجلات `CodeRepository` في مشروع عشوائي. تشمل نقاط نهاية واجهة برمجة التطبيقات (API) المعرضة للخطر: `/api/github/auth/callback` و`/api/github/repositories` و`/api/github/connect`. المعلمتان `state` و`installation id` معرضتان للخطر.

تتيح أدوات المراقبة الاصطناعية (Synthetic Monitors) في OneUptime لمستخدمي المشروع ذوي الامتيازات المحدودة إرسال كود Playwright مخصص يتم تنفيذه في الخدمة `oneuptime-probe`. يتم تنفيذ هذا الكود داخل `vm` الخاص بـ Node ويتلقى كائنات Playwright النشطة من المضيف، مثل `browser` و`page`. وهذا يسمح للمهاجم باستخدام كائن `browser` الذي تم حقنه لتنفيذ كود تعسفي على مضيف/حاوية أداة الفحص عبر `browser.browserType().launch(...)`. تنبع المشكلة من تعريض قدرات خطيرة للمضيف لرمز غير موثوق به، بدلاً من الاعتماد على أساليب التحايل التقليدية على صندوق الرمل. ويمكن استغلال ذلك من خلال ميزة `Test Monitor` أو عن طريق إنشاء «مراقب اصطناعي» ضار، مما يؤدي إلى «تنفيذ رمز عن بُعد» (RCE) على جانب الخادم. يتم تمرير `customCode` إلى `SyntheticMonitor.execute(...)` ثم يتم تنفيذه عبر `VMRunner.runCodeInNodeVM(...)`، مما يؤدي إلى إنشاء سياق Node `vm` وكشف كائنات المضيف. لا يقوم غلاف البروكسي بحجب أسماء الخصائص بشكل كافٍ، مما يسمح باستدعاء طرق Playwright المشروعة باستخدام الارتباط `this` الفعلي للمضيف.

Vito هو تطبيق ويب ذاتي الاستضافة يُستخدم لإدارة الخوادم ونشر تطبيقات PHP. يؤدي عدم التحقق من التفويض في إجراءات إنشاء المواقع ضمن سير العمل إلى السماح لمهاجم معتمد يتمتع بحق الكتابة في سير العمل ضمن أحد المشاريع بإنشاء وإدارة مواقع على خوادم تابعة لمشاريع أخرى من خلال توفير `server id` خارجي. تؤثر هذه المشكلة على إجراءات إنشاء المواقع ضمن سير العمل.

يحتوي SiYuan، وهو نظام لإدارة المعرفة الشخصية، على ثغرة أمنية من نوع البرمجة النصية عبر المواقع (XSS) تنعكس في نقطة نهاية واجهة برمجة التطبيقات (API) الخاصة بالأيقونات الديناميكية. تحدث هذه الثغرة عندما يتم تعيين المعلمة `type` على القيمة 8، مما يسمح بدمج محتوى يتحكم فيه المهاجم في إخراج SVG دون إجراء الهروب اللازم. ونظرًا لأن نقطة نهاية واجهة برمجة التطبيقات (API) ’'GET /api/icon/getDynamicIcon‘' لا تتطلب مصادقة وتُرجع image/svg+xml، فإن عنوان URL المُتلاعب به يمكنه حقن مُعالجات أحداث SVG/HTML قابلة للتنفيذ، مثل `onerror`، وتنفيذ JavaScript داخل مصدر الويب الخاص بـ SiYuan. قد يؤدي ذلك إلى تنفيذ إجراءات API مصادق عليها وتسريب البيانات الحساسة إذا قام مستخدم مسجل الدخول بفتح الرابط الخبيث. تنشأ المشكلة عن البناء غير الآمن للمخرجات والتطهير غير الكامل، وتحديدًا الحقن المباشر للمتغير `content` في عناصر SVG دون التهرب المناسب من XML/HTML. يعمل أداة التنقية الحالية على إزالة العلامات `<script>` فقط، ولكنها لا تعالج السمات الخطرة أو العناصر غير الآمنة.

تتعرض إصدارات Lodash 4.17.23 والإصدارات الأقدم منها لخطر «تلوث النماذج الأولية» (prototype pollution) من خلال الدالتين ` .unset` و` .omit`. لم يعالج الإصلاح الأولي المشكلة بشكل كامل، حيث يمكن للمهاجم تجاوز الفحص باستخدام أجزاء مسار مغلفة بمصفوفة. وهذا يسمح بحذف الخصائص من النماذج الأولية المدمجة مثل Object.prototype و Number.prototype و String.prototype. تسمح هذه المشكلة بحذف خصائص النموذج الأولي ولكنها لا تسمح بالكتابة فوق سلوكها الأصلي.