Morimori-Dev

يمكن للمهاجم المصرح له تجاوز التحقق من عنوان IP عن طريق وضع اسم مضيف الخادم في مسار URL، مما يسمح بتوجيه طلبات الخادم إلى خدمات داخلية. يحدث هذا لأن حماية تزوير الطلبات عبر الخادم (SSRF)—وهي ثغرة يتم فيها خداع الخادم لإرسال طلبات إلى موقع غير مقصود—تستخدم مقارنة سلسلة نصية فرعية في دالة `isSelfRequest()` بدلاً من تطابق اسم المضيف. يبدأ التدفق المتأثر عند `validate external host()` ويستخدم `isSelfRequest()` و `stripos()` لمعالجة بيانات يتحكم فيها المهاجم.

Authenticated attackers can execute arbitrary SQL queries and retrieve results in HTTP responses. This occurs because the trace-funnel analytics endpoints interpolate the `service name` and `span name` fields into ClickHouse string literals without proper escaping.

The HTTP handler fails to apply authorization wrappers to trace-funnel analytics endpoints. This allows unauthenticated attackers to submit arbitrary funnel definitions to retrieve trace analytics, including identifiers, durations, span counts, service topology, and error activity, without providing credentials.

يمكن للمستخدم المصادق عليه الذي يمتلك أذونات إدارة التخزين تنفيذ طلبات من جانب الخادم إلى عناوين URL داخلية أو خاصة بخدمة البيانات الوصفية. يحدث هذا لأن عملية التحقق من صحة نقطة نهاية التخزين S3 لا تتحقق إلا من تنسيق عنوان URL، كما أن الدالة `testConnection()` ترسل طلبًا إلى نقطة النهاية المُعدة دون إجراء التحقق الكافي.

يمكن للمستخدم المصادق عليه تشغيل طلبات من جانب الخادم إلى عناوين الشبكة الداخلية. يحدث هذا لأن الدالة `processUrlFile()` الموجودة في `packages/server/src/automations/steps/ai/extract.ts` تستخدم `fetch(fileUrl)` مباشرةً، متجاوزةً عملية التحقق من القائمة السوداء لعناوين IP المطبقة على خطوات الأتمتة الأخرى. وهذا يسمح بالوصول إلى نقاط نهاية البيانات الوصفية السحابية، ومسح الشبكة الداخلية، والوصول إلى واجهات برمجة التطبيقات (API) الداخلية. المتغير `fileUrl` هو المعلمة المعرضة للخطر المستخدمة لبدء هذه الطلبات.

يمكن للمستخدمين المصادق عليهم تنفيذ هجوم تزوير الطلبات من جانب الخادم (SSRF) غير المرئي على الخدمات الداخلية في Tailscale وCarrier-Grade NAT (CGNAT) وبيئات أخرى تستخدم عناوين 100.64.0.0/10. يحدث هذا لأن آليات استرداد عناوين URL الخاصة بالشعار والأيقونة تستخدم فحصًا مضمنًا للتحقق من صحة عناوين IP، والذي يفشل في حظر عناوين CGNAT، على الرغم من توفر الدالة المساعدة `is cgnat ip()` في النظام. تؤثر هذه المشكلة على نقاط النهاية ’endpoints/subscription/add.php‘ و'endpoints/payments/add.php'.

توجد مشكلة في التحقق من صحة المدخلات في نقطة نهاية كتابة البيانات الوصفية ’/forms/pdfengines/metadata/write‘. في حين يتم التحقق من صحة مفاتيح البيانات الوصفية، يتم تمرير قيم البيانات الوصفية دون تنقية إلى الدالة `WriteMetadata()`. يمكن للمهاجم إدخال حرف سطر جديد (` `) في قيمة البيانات الوصفية لتقسيم سطر الإدخال القياسي (stdin) لـ ExifTool، مما يسمح بإدخال علامات زائفة تعسفية لـ ExifTool مثل `-FileName` و`-Directory` و`-SymLink` و`-HardLink`. ويمكن أن يمكّن ذلك مهاجمًا غير مصدق من إعادة تسمية ملفات PDF المعالجة أو نقلها إلى مسارات عشوائية في نظام ملفات الحاوية، أو الكتابة فوق ملفات النظام، أو إنشاء روابط رمزية وروابط ثابتة في مسارات عشوائية.

تحتوي وحدة bazar على ثغرة حقن SQL في الملف `tools/bazar/services/EntryManager.php`. تحدث المشكلة لأن قيمة `id fiche`، المستمدة من المتغير `$ POST[’id fiche‘]`، يتم ربطها مباشرةً في استعلام SQL خام دون تنقية أو تحديد المعلمات. وهذا يسمح للمستخدم المصادق عليه بتنفيذ أوامر SQL تعسفية عبر نقطة النهاية ’/api/entries/{formId}‘ عن طريق التلاعب بالمعلمة `id fiche`. يتم تشغيل الثغرة الأمنية داخل الدالة `create()`، التي تستدعي الدالة `formatDataBeforeSave()`، لتقوم في النهاية بتمرير المدخلات غير المطهرة إلى الدالة `loadSingle()`.

توجد ثغرة إعادة توجيه مفتوحة في معالج نجاح المصادقة SAML. يقبل النظام معلمات POST غير المصادق عليها من نوع `RelayState` كوجهات إعادة توجيه، مما يسمح للمهاجمين الذين لديهم وصول إلى مزود الهوية (IdP) بإعادة توجيه المستخدمين المصادق عليهم إلى عناوين URL ضارة. ويمكن استغلال هذه الثغرة لتسهيل هجمات التصيد الاحتيالي أو سرقة بيانات الاعتماد.

توجد مشكلة في نقطة نهاية AJAX الخاصة بالإحصائيات، حيث لا يتم تنقية المعلمتين `date start` و`date end` في الإجراء `users active` داخل الملف ’public/main/inc/ajax/statistics.ajax.php‘. يتم إدراج هذه المعلمات مباشرةً في استعلام SQL، مما يسمح للمسؤول المصادق عليه بتنفيذ حقن SQL أعمى قائم على الوقت لاستخراج بيانات عشوائية من قاعدة البيانات.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Cronicle السابقة للإصدار 0.9.111 الوصف Cronicle هو برنامج لجدولة المهام وتشغيلها على خوادم متعددة، مزود بواجهة مستخدم أمامية قائمة على الويب. يمكن للمستخدم غير الإداري الذي يتمتع بامتيازات `create events` و`run events` حقن جافا سكريبت تعسفي عبر حقول إخراج المهام، بما في ذلك `html.content` و`html.title` و`table.header` و`table.rows` و`table.caption`. يقوم الخادم بتخزين هذه البيانات دون تنقية، ويقوم العميل بعرضها عبر `innerHTML` في صفحة تفاصيل المهمة. التوصيات قم بالتحديث إلى الإصدار 0.9.111 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات OpenObserve الأقدم من 0.70.4 الوصف يوجد في OpenObserve، وهي منصة قابلية المراقبة السحابية الأصلية، مشكلة تتمثل في أن الدالة `validate enrichment url` الموجودة في `src/handler/http/request/enrichment table/mod.rs` لا تحجب عناوين IPv6 بشكل صحيح. تُرجع مكتبة url في لغة Rust عناوين IPv6 محاطة بأقواس (على سبيل المثال، ’[::1]‘ بدلاً من ’::1‘). وهذا يسمح لمهاجم تمت مصادقته بالوصول إلى الخدمات الداخلية المحظورة أمام الوصول الخارجي. في عمليات النشر السحابية، قد يؤدي ذلك إلى استرداد بيانات اعتماد IAM عبر AWS IMDSv1 (169.254.169.254) أو بيانات GCP الوصفية أو Azure IMDS. أما في عمليات النشر ذاتية الاستضافة، فيسمح ذلك باستكشاف خدمات الشبكة الداخلية. التوصيات قم بالتحديث إلى الإصدار 0.70.4 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Cronicle السابقة للإصدار 0.9.111 الوصف Cronicle هو برنامج لجدولة المهام وتشغيلها على خوادم متعددة، مزود بواجهة مستخدم أمامية قائمة على الويب. قبل الإصدار 0.9.111، كان من الممكن أن تتضمن العمليات الفرعية للمهام (jb) مفتاح `update event` في مخرجات JSON الخاصة بها. وكان الخادم يطبق هذا المفتاح مباشرةً على التكوين المخزّن للحدث الأصلي دون إجراء أي فحوصات للتحقق من الصلاحيات. وكان بإمكان مستخدم ذي صلاحيات محدودة قادر على إنشاء الأحداث وتشغيلها تعديل أي خاصية من خصائص الحدث، بما في ذلك عناوين URL لـ webhook ورسائل البريد الإلكتروني الخاصة بالإشعارات. التوصيات التحديث إلى الإصدار 0.9.111 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات LinkAce الأقدم من 2.5.4 الوصف يوجد في LinkAce، وهو أرشيف ذاتي الاستضافة لروابط مواقع الويب، مشكلة تتمثل في أن الدالتين `LinkRepository::update` و`CheckLinksCommand::checkLink` لا تتحققان من صحة عناوين IP الخاصة. يمكن للمستخدم المصادق عليه الوصول إلى استجابات من الخدمات الداخلية، مثل AWS IMDSv1 وبيانات التعريف السحابية وواجهات برمجة التطبيقات (API) الداخلية، عن طريق إنشاء رابط بعنوان URL عام وتعديله لاستخدام عنوان IP خاص. تقوم مهمة cron `links:check` بتنفيذ طلبات من جانب الخادم دون تصفية عناوين IP، مما قد يؤدي إلى الكشف عن بيانات اعتماد السحابة وبيانات الخدمات الداخلية وطوبولوجيا الشبكة. التوصيات التحديث إلى الإصدار 2.5.4 أو أحدث.

يوجد في pyLoad، وهو مدير تنزيل يعتمد على لغة Python، مشكلة في دالة واجهة برمجة التطبيقات (API) `parse urls` الموجودة في `src/pyload/core/api/ init .py`. تسترد هذه الدالة عناوين URL من جانب الخادم باستخدام `get url(url)` (pycurl) دون التحقق من صحة عنوان URL أو تقييد البروتوكولات أو تطبيق قائمة سوداء لعناوين IP. يمكن للمستخدم المصادق عليه الذي يمتلك إذن ADD إرسال طلبات HTTP/HTTPS إلى موارد الشبكة الداخلية ونقاط نهاية البيانات الوصفية السحابية. كما يمكنه قراءة الملفات المحلية عبر بروتوكول `file://`، والتفاعل مع الخدمات الداخلية باستخدام بروتوكولي `gopher://` و`dict://`، وتحديد وجود الملفات من خلال أوراكل قائم على الأخطاء. تُستخدم دالة `get url()` دون أي قيود، مما يسمح بالوصول إلى بروتوكولات متنوعة وموارد داخلية.

يفشل التطبيق في تطبيق قواعد التحقق من صحة كلمة المرور المحددة بواسطة إعداد `AUTH PASSWORD VALIDATORS` في Django عند إنشاء أو تعديل المستخدمين عبر واجهة برمجة التطبيقات REST. يمكن استخدام هذا الإعداد، القابل للتكوين في ملف `nautobot config.py`، لتطبيق قواعد متنوعة تتعلق بتعقيد كلمة المرور. تسمح هذه المشكلة بإنشاء أو تعديل حسابات مستخدمين بكلمات مرور ضعيفة أو غير متوافقة. تقوم إدارة المستخدمين من خلال واجهة المستخدم الإدارية (admin UI) بفرض التحقق من صحة كلمة المرور بشكل صحيح. المكون المعرض للخطر هو واجهة برمجة التطبيقات REST المستخدمة لإنشاء المستخدمين وتعديلهم. نقاط نهاية واجهة برمجة التطبيقات (API) المتأثرة هي تلك المستخدمة لإنشاء المستخدمين وتعديلهم. المتغير `AUTH PASSWORD VALIDATORS` هو العنصر الأساسي في هذه المشكلة.

Gotenberg هي أداة لتحويل المستندات تعتمد على واجهة برمجة التطبيقات (API). تستخدم قوائم الحظر الافتراضية لعناوين IP الخاصة الخاصة بعلامتي `--webhook-deny-list` و`--api-download-from-deny-list` تعبيرًا منتظمًا يراعي تمييز الأحرف الكبيرة والصغيرة لمطابقة أنماط عناوين URL. ونظرًا لأن الدالة `net/url.Parse()` تقوم بتوحيد نظام عناوين URL إلى الأحرف الصغيرة قبل إنشاء اتصال TCP صادر، يمكن للمهاجم تجاوز قائمة الحظر عن طريق كتابة جزء من نظام عناوين URL بأحرف كبيرة (على سبيل المثال، `HTTP://` أو `HTTPS://` أو `Http://`). وهذا يسمح للطلبات غير المصادق عليها بالوصول إلى خدمات الشبكة الداخلية، بما في ذلك نطاقات عناوين IP الخاصة، وعناوين الارتجاع (loopback)، ونقاط نهاية بيانات تعريف مثيلات السحابة. تتعلق هذه المشكلة بالدالة `FilterDeadline()` ومنطق معين داخل الملفين `pkg/modules/webhook/webhook.go` و`pkg/modules/api/api.go`.

Lychee هي أداة مجانية ومفتوحة المصدر لإدارة الصور. قبل الإصدار 7.5.2، كان من الممكن تجاوز الحماية من تزوير الطلبات من جانب الخادم (SSRF) في ملف `PhotoUrlRule.php` باستخدام إعادة ربط DNS. لا يتم تنشيط فحص التحقق من صحة عنوان IP (الأسطر 86-89) إلا عندما يكون اسم المضيف عبارة عن عنوان IP. وعند استخدام اسم نطاق، تُرجع الدالة `filter var($host, FILTER VALIDATE IP)` القيمة `false`، مما يؤدي إلى تخطي الفحص بالكامل. وهذا يتيح إمكانية الوصول غير المصرح به أو القيام بأعمال غير مصرح بها عبر التطبيق المعرض للخطر.

Lychee هي أداة مجانية ومفتوحة المصدر لإدارة الصور. قبل الإصدار 7.5.3، كان حقل `description` الخاص بالصورة يُخزّن دون تنقية HTML ويُعرض باستخدام `{!! $item->summary !!}` (إخراج Blade غير مُعَدّل) في قوالب موجزات RSS وAtom وJSON. يمكن الوصول إلى نقطة نهاية واجهة برمجة التطبيقات (API) `/feed` بشكل عام دون مصادقة، مما يسمح لأي قارئ RSS بتنفيذ جافا سكريبت يتحكم فيه المهاجم.

يوجد في Invoice Ninja، وهو تطبيق لإدارة الفواتير وعروض الأسعار والمشاريع وتتبع الوقت تم تطويره باستخدام Laravel، مشكلة تتمثل في أن حقول ملاحظات المنتج في الإصدارات من 5.13.0 إلى 5.13.3 تسمح بتمرير كود HTML الخام عبر عرض Markdown، مما قد يؤدي إلى حدوث هجمات البرمجة النصية عبر المواقع (XSS) المخزنة. لم يتم تنقية مخرجات محلل Markdown بشكل صحيح باستخدام الدالة `purify::clean()` قبل تضمينها في قوالب الفواتير. وقد يتيح ذلك للمهاجم حقن تعليمات برمجية ضارة في النظام.