Nbxiglk

توجد ثغرة تسمح بحقن نصوص برمجية ضارة في واجهة برمجة التطبيقات (REST) الخاصة بـ Apache Geode. يمكن للمهاجم حث مستخدم مسجل الدخول على النقر على رابط مصمم خصيصًا لهذا الغرض، مما يؤدي إلى تنفيذ التعليمات البرمجية في الصفحة المعروضة. وقد يؤدي ذلك إلى سرقة معلومات جلسة عمل المستخدم واحتمال الاستيلاء على الحساب. تؤثر هذه الثغرة الأمنية على واجهة برمجة التطبيقات REST.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Apache IoTDB من 1.0.0 إلى 1.3.3 الوصف: تتعلق المشكلة بثغرة أمنية في «تنفيذ التعليمات البرمجية عن بُعد» (Remote Code Execution) عبر عنوان URI غير موثوق به الخاص بوظيفة UDF في Apache IoTDB. يمكن للمهاجم الذي يتمتع بامتياز إنشاء وظائف UDF تسجيل وظيفة خبيثة من عنوان URI غير موثوق به. التوصيات: بالنسبة لإصدارات Apache IoTDB من 1.0.0 إلى 1.3.3، قم بالتحديث إلى الإصدار 1.3.4 الذي يعالج المشكلة. كإجراء مؤقت، ضع في اعتبارك تقييد إنشاء وظائف UDF على المصادر الموثوقة حتى يتم تطبيق التحديث.

The issue is related to improper control of code generation, allowing an attacker to inject sensitive configuration or malicious code when connecting to a MySQL database via a JDBC driver.

The issue concerns an Improper Input Validation vulnerability, allowing an authenticated user to execute arbitrary, unsandboxed javascript on the server. This can lead to arbitrary js execution as root for authenticated users.

The issue is related to an Authorization Bypass Through User-Controlled Key vulnerability. This vulnerability allows some sensitive parameter checks to be bypassed, including `autoDeserizalize` and `allowLoadLocalInfile`.

The issue is related to a Server-Side Request Forgery (SSRF) vulnerability in Apache XML Graphics Batik. This vulnerability can be exploited by a malicious SVG, which could trigger the loading of external resources by default, causing resource consumption or, in some cases, information disclosure.

The issue is related to the Remote Resource Handler component of Apache NiFi, which is associated with incorrect code generation management. This can allow a remote attacker to execute arbitrary code. The vulnerability is exploited when an authenticated and authorized user configures a location that enables custom code execution, using HTTP URL references for retrieving drivers in Processors and Controller Services.

The issue allows for a remote code execution (RCE) attack when a configuration uses a JMS Source with an unsafe providerURL. This is due to the JMSSource class being configured with a `providerUrl` parameter, which performs a JNDI lookup without validation, potentially leading to the deserialization of untrusted data.