Mistz1

لا تقوم العديد من المكونات التي تحل مسارات نظام الملفات أو توسع أنماط البحث بحصر المسار الذي تم حله في الدليل الجذري المقصود بشكل ثابت. يحدث هذا في برنامج وسيط لوكيل البحث عن الملفات الذي يتحقق من صحة الدليل الابتدائي ولكنه يفشل في التحقق من صحة نمط البحث أو الهدف الذي تم حله للملفات المطابقة، مما يسمح لأنماط glob والروابط الرمزية بالوصول إلى الملفات خارج الجذر المُعد. بالإضافة إلى ذلك، تقوم أدوات تحميل المطالبات وتكوين السلسلة/الوكيل بحل حقول المسار دون حصرها في قاعدة موثوقة أو رفض أهداف الروابط الرمزية. علاوة على ذلك، تستخدم عمليات التحقق من ترخيص بادئة المسار مقارنة بادئة السلسلة دون حدود لقطاعات المسار، مما يسمح بقبول المسارات المتناظرة التي تشترك في نفس البادئة. إذا قامت هذه المكونات بمعالجة قيم المسارات أو أنماط البحث أو محتويات مساحة العمل المتأثرة بمصدر غير موثوق به، مثل نموذج اللغة الكبير (LLM) الذي يعمل على مدخلات غير موثوق بها، فقد يؤدي ذلك إلى الكشف عن ملفات خارج الحدود المقصودة.

يوجد ثغرة تسمح بتجاوز أداة التحقق الأمني في عقدة «Python Code» تتعلق بـ«شجرة الصياغة المجردة» (AST)، وهي تمثيل شجري للبنية النحوية المجردة للكود المصدري. يمكن للمستخدم المصادق عليه الذي يمتلك أذونات لإنشاء أو تعديل سير العمل تجاوز أداة التحقق هذه للوصول إلى مساحة أسماء وحدة تنفيذ المهام. تؤثر هذه المشكلة بشكل خاص على المثيلات ذات الاستضافة الذاتية التي تم تمكين مشغل مهام Python فيها. إذا تم تكوين المتغير `N8N BLOCK RUNNER ENV ACCESS` للسماح بالوصول، فقد يؤدي ذلك إلى الكشف عن متغيرات البيئة التي يمكن لعملية مشغل المهام الوصول إليها.

تسمح مشكلة حقن SQL في الدالة `create sqla query()` للمستخدمين المصادق عليهم بتنفيذ أوامر SQL تعسفية على قاعدة البيانات الخلفية. ويحدث هذا على وجه التحديد في عمليات نشر Oracle التي تستخدم المكون الإضافي الافتراضي `json meta`. وتوجد هذه الثغرة لأن مفاتيح وقيم التصفية التي يتحكم فيها المهاجم يتم إدراجها مباشرةً في `sqlalchemy.text()` باستخدام تنسيق سلاسل Python، مما يتجاوز عملية تحديد المعلمات. يمكن استغلال هذه الثغرة عبر نقطة النهاية ’GET /dids/<scope>/dids/search‘. وقد يؤدي الاستغلال الناجح إلى اختراق قاعدة البيانات بالكامل، بما في ذلك استخراج تجزئات كلمات المرور ورموز المصادقة ومعرّفات البيانات المُدارة، فضلاً عن إمكانية تعديل محتويات قاعدة البيانات.

توجد مشكلة في الدالة `FilterEngine.create postgres query()` حيث يمكن للمستخدمين المصادق عليهم تنفيذ أوامر SQL تعسفية على قاعدة بيانات البيانات الوصفية لـ PostgreSQL. يحدث هذا عند تكوين المكون الإضافي للبيانات الوصفية `postgres meta`، حيث يتم إدراج مفاتيح وقيم التصفية التي يتحكم فيها المهاجم مباشرةً في سلاسل SQL الأولية باستخدام دالة `.format()` في لغة Python، والتي تتم معالجتها بعد ذلك كبناء جملة موثوق به بواسطة دالة `sql.SQL()` في `psycopg3`. يمكن الوصول إلى هذه الثغرة عبر نقطة النهاية ’GET /dids/<scope>/dids/search‘. اعتمادًا على امتيازات قاعدة البيانات، قد يؤدي ذلك إلى الكشف عن الجداول الحساسة (مثل `identities` و`tokens` و`accounts` و`rse settings` و`rules`)، أو تعديل أو حذف البيانات الوصفية، أو الوصول إلى الملفات الموجودة على جانب الخادم، أو تنفيذ التعليمات البرمجية عن بُعد من خلال ميزة `COPY ... FROM PROGRAM`. كما يمكن استخراج تجزئات كلمات المرور وكسرها بسبب استخدام خوارزمية SHA-256 ذات التكرار الواحد دون وظيفة اشتقاق المفتاح (KDF)، وهي طريقة تُستخدم لتقوية كلمات المرور قبل تجزئتها.

يحتوي البرنامج على ثغرة «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR) في نقطة نهاية وكيل الفيديو. يمكن لأي مستخدم تمت مصادقته الوصول إلى محتوى الفيديو الخاص بمستخدمين آخرين من خلال استغلال عدم وجود فحص للتفويض. وعلى وجه التحديد، تقوم الدالة `model.GetByOnlyTaskId(taskID)` بالاستعلام عن المهام باستخدام `task id` فقط دون التحقق من ملكية المستخدم، في حين أن عمليات البحث عن المهام الأخرى تفرض الملكية بشكل صحيح باستخدام `model.GetByTaskId(userId, taskID)`. وهذا يسمح للمهاجم بتجاوز عزل المستأجر لأصول الوسائط التي تم إنشاؤها، وربما الوصول إلى البيانات الحساسة، بما في ذلك رؤوس الاستجابة المنبثقة ومفاتيح واجهة برمجة التطبيقات (API) المستخدمة للاتصال بمزودي الذكاء الاصطناعي مثل Google Gemini و OpenAI. نقطة نهاية واجهة برمجة التطبيقات (API) المعرضة للخطر هي `GET /v1/videos/:task id/content`. المعلمة المعرضة للخطر هي `task id`. المعالج المعرض للخطر هو `controller.VideoProxy`. يمكن للمهاجم استغلال هذه الثغرة عن طريق إرسال طلب إلى نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة باستخدام `task id` معروف ينتمي إلى مستخدم آخر.

يحتوي ormar، وهو نموذج ORM صغير غير متزامن للغة Python، على ثغرة في تجاوز التحقق من الصحة باستخدام Pydantic في منشئ النموذج الخاص به. وهذا يسمح للمستخدمين غير المصادق عليهم بتجاوز جميع عمليات التحقق من صحة الحقول عن طريق إدخال ” pk only “: true في نص طلب JSON. يسمح إدخال ” pk only “: true بتجاوز عمليات التحقق من الأنواع والقيود وقواعد التحقق الأخرى، مما يؤدي إلى بقاء البيانات غير المتحقق من صحتها في قاعدة البيانات. وهناك مشكلة ثانوية تتعلق بالمعلمة ” excluded “، والتي يمكن استخدامها لإبطال صلاحية حقول نموذجية عشوائية بشكل انتقائي أثناء الإنشاء. ويؤثر هذا على نمط التكامل الموصى به لـ FastAPI، مما قد يتيح تصعيد الامتيازات وانتهاكات سلامة البيانات وتجاوز منطق الأعمال. السبب الجذري هو الاستخراج المباشر لـ ” pk only “ من الحجج الكلمية التي يقدمها المستخدم قبل إجراء التحقق من الصحة. كان الهدف الأصلي من علامة ` pk only ` هو التحسين الداخلي، ولكنها متاحة للمتصلين الخارجيين. تشمل نقاط الدخول المتأثرة مسارات FastAPI التي تستخدم نماذج ormar كمعلمات في نص الطلب، بالإضافة إلى الاستدعاءات المباشرة لـ `Model.objects.create(**user dict)` و`Model(**user dict)`.

Statmatic هو نظام لإدارة المحتوى (CMS) يعتمد على Laravel وGit. يمكن للمستخدمين المعتمدين في لوحة التحكم، في ظل ظروف معينة، الحصول على امتيازات عالية دون إكمال خطوة التحقق المطلوبة. وقد يتيح ذلك الوصول إلى عمليات حساسة، ويؤدي محتملًا إلى رفع مستوى الامتيازات، اعتمادًا على الأذونات الحالية للمستخدم.

Calibre هو مدير للكتب الإلكترونية يُستخدم لعرض الكتب الإلكترونية وتحويلها وتحريرها وفهرستها. يوجد ثغرة «حقن رأس استجابة HTTP» في خادم المحتوى الخاص بـ «Calibre» في الإصدارات الأقدم من 9.4.0. يمكن للمستخدم المصادق عليه حقن رؤوس HTTP تعسفية في استجابات الخادم عبر معلمة الاستعلام `content disposition` غير المُعقمة. يحدث هذا في نقاط نهاية واجهة برمجة التطبيقات (API) `/get/` و`/data-files/get/`. يمكن استغلال هذه الثغرة من قبل أي مستخدم معتمد، ربما من خلال رابط تم إنشاؤه خصيصًا لهذا الغرض. يتأثر جميع المستخدمين الذين يشغلون خادم محتوى Calibre مع تمكين المصادقة.