Muhammad Sobirov

An OS command injection issue exists on Windows when the `shell quote nt` function fails to properly escape `cmd.exe` metacharacters or embedded double quotes within archive filenames. This allows attackers to execute arbitrary commands with the privileges of the patool process by providing specially crafted filenames, such as `report&calc.gz`, for single-file formats executed with `shell=True`.

Cross-site scripting occurs in the `makehtml` link and image subparsers due to a failure to escape double quotes in destination URLs used within `href` and `src` attributes. This allows attackers to create markdown links or images containing a double quote followed by `onerror` or `onmouseover` handlers to execute arbitrary scripts when a user views the rendered HTML.

يقوم البرنامج باتباع الروابط الرمزية في وجهة الاستخراج. تفشل الدالة `Utils.sanitize` الموجودة في ملف `util/utils.js` في فرض الاحتواء بشكل صحيح، حيث تقتصر على مقارنة الشكل النصي لاسم عنصر الأرشيف فقط مع جذر الاستخراج الذي تم تحليله. بالإضافة إلى ذلك، تستخدم الدالة `Utils.writeFileTo` `fs.openSync(path, ”w“, 0o666)`، التي تحل الروابط الرمزية وتفتقر إلى كل من علامة `O NOFOLLOW` وفحص `fs.lstatSync` قبل الكتابة. إذا كان أحد مكونات المسار في الوجهة عبارة عن رابط رمزي يشير إلى خارج جذر الاستخراج، فستقوم الدوال `extractAllTo` و`extractAllToAsync` و`extractEntryTo` بكتابة محتويات العنصر عبر ذلك الرابط وتعديل أذونات الهدف. وهذا يسمح للمهاجم الذي يمكنه إنشاء رابط رمزي في دليل استخراج مشترك أو يمكن التنبؤ به بالكتابة فوق الملفات التي تمتلك العملية أذونات الكتابة عليها، شريطة أن يكون خيار الكتابة فوق الملفات ممكّنًا.

يقوم البرنامج بتشغيل خادم خلفي لـ HTTP Artifacts V4 عندما تستخدم سير العمل الإجراءات actions/upload-artifact@v4 أو actions/download-artifact@v4. تقبل طلبات RPC الخاصة بمستوى التحكم، بما في ذلك ’CreateArtifact‘ و'GetSignedArtifactURL' و'ListArtifacts' و'FinalizeArtifact' و'DeleteArtifact'، قيمة `workflow run backend id` التي يقدمها المتصل دون التحقق مما إذا كانت تخص الطالب أم لا. يحدث هذا لأن الدالة `validateRunIDV4()` الموجودة في pkg/artifacts/artifacts v4.go تقوم بتحليل القيمة ولكنها لا تجري المقارنة اللازمة مع معرّف تشغيل المهمة الطالبة. بالإضافة إلى ذلك، تتم مصادقة عناوين URL الموقعة باستخدام مفتاح HMAC مبرمج بشكل ثابت (0xba 0xdb 0xee 0xf0)، مما يجعل التوقيعات قابلة للتزوير وغامضة بين أزواج أسماء العناصر ومعرفات المهام المختلفة. بشكل افتراضي، تستخدم العلامة `--artifact-server-addr` عنوان المضيف الصادر بدلاً من عنوان loopback، مما يجعل الخلفية قابلة للوصول من الشبكة المحيطة. وهذا يسمح للعملاء غير المصرح لهم بقراءة أو الكتابة فوق أو حذف العناصر الخاصة بالمهام التي تعمل في وقت واحد، مما قد يؤدي إلى كشف الأسرار وبيانات اعتماد النشر.

تقبل دالة `SelectQueryBuilder.distinctOn` في TypeORM مصفوفة من السلاسل وتخزنها في خريطة التعبيرات دون التحقق من صحتها. بالنسبة لمحركات عائلة PostgreSQL، تقوم الدالة `createSelectDistinctExpression()` الموجودة في `src/query-builder/SelectQueryBuilder.ts` بدمج هذه المصفوفة وإدراج النتيجة في العبارة التي تم إنشاؤها على النحو التالي: `SELECT DISTINCT ON (values)`. تحدث هذه العملية دون استخدام أحرف الهروب أو علامات الاقتباس أو التحقق من صحة المعرفات أو قائمة المسموح بها، كما أنها تتجاوز أداة مساعدة الهروب الخاصة بالمحرك ووظيفة `replacePropertyNames`. نظرًا لأن نقطة الإدراج هي قائمة تعبيرات SQL محاطة بأقواس، يمكن للمهاجم تقديم تعبيرات عشوائية، بما في ذلك الاستعلامات الفرعية المترابطة. إذا قام تطبيق ما بتمرير قيم يتحكم فيها العميل إلى `distinctOn`، فإنه يسمح للعميل بقراءة البيانات التي يمكن لدور قاعدة بيانات التطبيق الوصول إليها من خلال الاستدلال المنطقي أو القائم على الوقت، بغض النظر عن الكيان الذي يتم الاستعلام عنه. هذا المسار غير محمي بفحص قائمة السماح `validateOrderByCondition` الذي تستخدمه عائلة `orderBy`.

يفشل البرنامج في التحقق بشكل كافٍ من صحة عناوين URL قبل إرجاع الملفات المحلية، مما يسمح بالوصول المحتمل إلى الملفات الموجودة على جهاز المطور. يحدث هذا في الدالة `getFilenameFromUrl()` عندما يتم تكوين `publicPath` بدون شرطة مائلة في النهاية. يمكن للمهاجم صياغة طلب يتم فيه تضمين تسلسل من النقاط داخل جزء من المسار (على سبيل المثال، `/assets../.env`)، متجاوزًا بذلك آلية الحماية من اجتياز المسار. ثم يقوم النظام بتقسيم المسار عند إزاحة ثابتة، مما يؤدي إلى اجتياز المسار الذي يحل إلى دليل واحد أعلى من مسار الإخراج. تؤثر هذه المشكلة بشكل خاص على البيئات التي تعتمد فيها البرمجيات الوسيطة على نظام الملفات الفعلي، مثل عندما يتم تعيين المتغير `writeToDisk` إلى `true` أو يتم توفير `outputFileSystem` مخصص. إذا كان خادم التطوير مكشوفًا على شبكة أو يسمح بطلبات عبر الأصول، فيمكن للمهاجم استخراج ملفات حساسة مثل كلمات المرور أو شفرة المصدر.