Nedlir

تسمح مشكلة إلغاء تسلسل (deserialization) غير مصفاة للمهاجمين المصرح لهم بالتلاعب بمعايير مطابقة المرضى. من خلال تقديم معلمة `key` مسلسلة ومصممة خصيصاً إلى نقطة النهاية 'interface/orders/patient match dialog.php'، يمكن للمهاجمين تعداد المرضى أو فرض مطابقات تربط طلبات المختبر بالمريض الخطأ. إلغاء التسلسل هو عملية تحويل سلسلة نصية مسلسلة مرة أخرى إلى كائن أو هيكل بيانات.

يسمح تجاوز فحص الأمان للمهاجمين بإخفاء حمولات خبيثة. يحدث هذا لأن الدالتين `collect bundle siblings()` و `walk bundle subdir()` تتجاهلان المجلدات المتداخلة وملفات .pyc (ملفات بايت كود بايثون المجمعة). يمكن للمهاجم توزيع حزمة مهارات تحتوي على ملف .pyc بـ hash غير مفحوص موجود تحت `scripts/<subdir>/ pycache /` يتجاهله النظام أثناء الفحص، بينما يقوم CPython بتنفيذه عند تشغيل المهارة.

يوجد خلل في مكون Static Scanner يسمح للمهاجم المحلي بالتسبب في فشل آلية الحماية. تحدث هذه المشكلة ضمن الدالة `shouldSkipTargetPath()` الموجودة في الملف internal/runner/runner.go.

A path traversal issue exists within the File Access component, specifically affecting the `startsWith()` function in the `skill scan/tools/dir/dir actions.py` file. This flaw allows a local attacker to manipulate file paths to access unauthorized directories.

The `isSecurityDefenseSkill()` function within the `dist/scanner/analyzers/context.js` file relies on untrusted inputs when making security decisions. This issue allows a local attacker to perform a manipulation that compromises the security decision process.

A flaw in the Static Scanner component, specifically within the file `internal/runner/static scanner.go`, allows for an incomplete comparison with missing factors. This issue can be exploited by an attacker on the local host.

An interpretation conflict exists within the File Classifier component. The issue resides in the `IsBinaryFile()` function located in the internal/runner/static scanner.go file. Exploitation requires local access to the system.

A denial of service can be triggered remotely via the xAI OAuth Callback Handler component. The issue exists in the `waitForCallback()` function within the `src/services/api/xaiOAuthCallback.ts` file, where manipulation of the `Error` argument allows for the attack.

The software fails to analyze executable files when scanning local skill directories. It only reads the SKILL.md file and ignores Python source code, bytecode, and other artifacts located in the scripts directory. This allows malicious code to be distributed within non-manifest files, which then receive a SAFE verdict and a 100/100 trust score because the executable payloads remain unanalyzed.

The software fails to analyze compiled Python bytecode files located in companion code directories. This allows attackers to bypass security scanning by including malicious ` pycache ` entries alongside benign source files. Consequently, arbitrary Python bytecode can be executed upon import, even when the scanner provides a CERTIFIED verdict with high trust scores in both static and semantic analysis modes.

يمكن لمتصل غير مصدق الهوية استدعاء طريقة Meteor `sendForgotPasswordEmail` بشكل متكرر بسبب عدم وجود حد لمعدل الاستخدام في DDP. يمكن الوصول إلى هذه الطريقة عبر DDP ونقطة نهاية HTTP ’POST /api/v1/method.callAnon/sendForgotPasswordEmail‘. يتيح استغلال هذه الثغرة للمهاجم إرسال عدد غير محدود من رسائل البريد الإلكتروني الخاصة بإعادة تعيين كلمة المرور إلى عنوان محدد باستخدام أداة إرسال البريد الخاصة بالنظام. بالإضافة إلى ذلك، يمكن استخدام هذه الطريقة لاستكشاف الحسابات؛ فهي تُرجع القيمة «true» للعناوين التي لا تحتوي على حساب أو في حالة الإرسال الناجح، ولكنها تُرجع القيمة «false» للحسابات التي تستخدم مزودي خدمة خارجيين عندما يكون `Accounts AllowPasswordChangeForOAuthUsers` معطلاً، مما يسمح للمهاجم بتحديد أنواع الحسابات المحددة تلك.

تحدث مشكلة في دقة التحكم في الوصول عندما يتم تعيين متغير البيئة `CONTAINERS`، مما يؤدي إلى الفشل في تقييد الوصول إلى نقاط النهاية للقراءة بشكل صحيح داخل مساحة أسماء واجهة برمجة تطبيقات Docker `/containers`. وهذا يسمح للمهاجمين باستخدام طلبات GET إلى نقاط النهاية ’/containers/{id}/archive‘ و'/containers/{id}/export' و'/containers/{id}/logs' و'/containers/{id}/top' لقراءة ملفات عشوائية وتنزيل أنظمة ملفات الحاويات بالكامل كأرشيفات tar.

توجد ثغرة تتعلق بالتحميل غير المقيد في مكون Document Upload Controller. يمكن لمهاجم عن بُعد استغلال الدالة `DocumentController()` الموجودة في الملف `grails-app/controllers/org/pih/warehouse/core/DocumentController.groovy` لتحميل الملفات دون قيود مناسبة.

قد يؤدي التلاعب عن بُعد بوحدة التحكم «Product Supplier Edit Controller» الموجودة في الملف `grails-app/controllers/org/pih/warehouse/RoleInterceptor.groovy` إلى حدوث خلل في عملية التفويض.

قد يؤدي التلاعب عن بُعد بوظيفة `needManager()` داخل مكون Role Interceptor (الموجود في grails-app/controllers/org/pih/warehouse/RoleInterceptor.groovy) إلى إدارة غير سليمة للامتيازات.

يوجد ثغرة تزوير الطلبات من جانب الخادم (SSRF) في نقطة نهاية تحميل المنتج. يمكن لمهاجم عن بُعد التلاعب بالمتغير `params.url` داخل الدالة `Upload()` في الملف grails-app/controllers/org/pih/warehouse/product/ProductController.groovy لإثارة المشكلة. SSRF هو عيب يسمح للمهاجم بحث التطبيق من جانب الخادم على إرسال طلبات إلى موقع غير مقصود.

توجد مشكلة في مكون معالجة القوالب حيث تفشل الدالة `buildZebraTemplate()` الموجودة في الملف `grails-app/controllers/org/pih/warehouse/core/DocumentController.groovy` في تحييد العناصر الخاصة المستخدمة في محرك القوالب بشكل صحيح. وهذا يسمح لمهاجم عن بُعد بالتلاعب بعملية معالجة القوالب.

The skill-scan component fails to analyze compiled Python bytecode files because it hardcodes ` pycache ` directories and `.pyc`, `.pyo`, and `.pyd` extensions into skip lists. This allows an attacker to bundle malicious compiled bytecode with benign Python source files. Since the scanner ignores the bytecode, it may return a safe verdict, allowing the execution of arbitrary code when an operator installs the skill.

توجد مشكلة في استهلاك الموارد عن بُعد داخل مكون GraphQL API Endpoint، وتؤثر بشكل خاص على المكتبة `packages/core/src/lib/core/queries/output-field.ts`. وهذا يسمح لمهاجم عن بُعد بالتلاعب بالنظام، مما يؤدي إلى الاستخدام المفرط للموارد.

تتعرض كل من JSONSerializer و CBORSerializer لخطر تنفيذ التعليمات البرمجية عن بُعد (RCE) من خلال عملية إزالة التسلسل غير الآمنة. تتيح الدالة `unmarshal object()` إنشاء مثيلات فئات عشوائية وحقن الحالة عن طريق الاستيراد الديناميكي للوحدات النمطية واستدعاء ` setstate ` على أي فئة موجودة في بيئة Python. ويمكن تشغيل هذه الثغرة عن طريق إرسال حمولة JSON أو CBOR مصممة خصيصًا إلى تطبيق يستخدم أدوات التسلسل هذه.