Neo-Ai-Engineer

توجد ثغرة تسمح بكتابة ملفات عشوائية دون مصادقة في نقطة النهاية ’aVideoEncoderChunk.json.php‘. يمكن للمهاجمين عن بُعد استخدام طلبات HTTP PUT لكتابة ما يصل إلى 4 غيغابايت من المحتوى التعسفي إلى نظام ملفات الخادم دون مصادقة. وقد يؤدي ذلك إلى استنفاد مساحة القرص، مما يتسبب في رفض الخدمة، أو إفساد مسار ترميز الفيديو، أو تنفيذ التعليمات البرمجية عن بُعد عند دمجه مع تضمين الملفات المحلية.

توجد مشكلة أثناء تسجيل المستخدمين حيث يفشل البرنامج في تنقية حقل `phone`. وهذا يسمح للمهاجمين غير المصادق عليهم بتنفيذ هجوم برمجة نصية عبر المواقع المخزنة (XSS) عن طريق حقن جافا سكريبت ضار يبقى في قاعدة البيانات. يتم تنفيذ البرنامج النصي في جلسة متصفح المسؤول عند زيارته لصفحة إدارة المستخدمين، حيث يتم عرض القيمة غير المطهرة باستخدام innerHTML.

عند تكوين البرنامج باستخدام مصادقة الوكيل (`auth.method=proxy`)، يثق البرنامج بشكل غير صحيح في رؤوس الهوية الواردة من المصدر دون التحقق من أن الطلبات تنشأ من وكيل موثوق به. يمكن لمهاجم غير مصدق عليه ولديه وصول مباشر إلى الخادم أن ينتحل صفة أي مستخدم، بما في ذلك المسؤول، عن طريق إرسال رأس HTTP مزور. علاوة على ذلك، يؤدي إدخال اسم مستخدم غير موجود في الرأس إلى إنشاء حساب مستخدم جديد تلقائيًا، مما يسمح بإنشاء حسابات غير مصرح بها. ويؤدي ذلك إلى الاستيلاء الكامل على الحساب الإداري والاختراق الكامل لإدارة الملفات من جانب الخادم.

يقوم التطبيق بتسجيل نظام ارتباط عميق مخصص `org.traccar.client://config`، والذي يسمح بالتعديل الخفي لإعدادات التكوين الدائمة دون الحاجة إلى تأكيد أو إخطار من المستخدم. يمكن للمهاجم استخدام رابط مُعدّ خصيصًا يتم إرساله عبر رسالة SMS أو بريد إلكتروني أو صفحة ويب أو تطبيق آخر لاختطاف معلمات تتبع GPS، بما في ذلك عنوان URL للخادم ومعرف الجهاز والدقة والمسافة والفاصل الزمني. وهذا يتيح إعادة التوجيه السري لبيانات القياس عن بُعد عبر GPS في الوقت الفعلي إلى خادم يتحكم فيه المهاجم بأقصى دقة وتكرار، مع استمرار التغييرات حتى بعد إعادة تشغيل الجهاز.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Vite من 7.1.0 إلى 7.3.1 ومن 8.0.0 إلى 8.0.4 الوصف يسمح Vite، وهو إطار عمل لأدوات الواجهة الأمامية لـ JavaScript، باسترداد الملفات المحظورة بواسطة `server.fs.deny` (مثل ملفات .env و*.crt) مع استجابات HTTP 200 عندما تُلحق معلمات استعلام محددة مثل ?raw أو ?import&raw أو ?import&url&inline بالطلب. يحدث هذا عندما يكون خادم التطوير الخاص بـ Vite متصلاً بالشبكة وتكون الملفات الحساسة مسموحة بواسطة `server.fs.allow` وممنوعة بواسطة `server.fs.deny` في الوقت نفسه. التوصيات يجب تحديث إصدارات Vite من 7.1.0 إلى 7.3.1 إلى الإصدار 7.3.2 أو أحدث. يجب تحديث إصدارات Vite من 8.0.0 إلى 8.0.4 إلى الإصدار 8.0.5 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Directus الأقدم من 11.16.1 الوصف يُعتبر Directus عرضة لمشكلة إعادة التوجيه المفتوحة من خلال المعلمة `redirect` في صفحة `/admin/tfa-setup`. قد يتم إعادة توجيه المسؤول الذي لم يقم بتكوين المصادقة الثنائية (2FA) إلى عنوان URL يسيطر عليه المهاجم بعد إتمام عملية إعداد المصادقة الثنائية، حيث يفتقر التطبيق إلى التحقق من صحة وجهة إعادة التوجيه. ويمكن استغلال هذه الثغرة في هجمات التصيد الاحتيالي التي تستهدف مسؤولي Directus. التوصيات قم بالتحديث إلى الإصدار 11.16.1 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات hoppscotch السابقة للإصدار 2026.3.0 الوصف يحتوي hoppscotch، وهو نظام بيئي مفتوح المصدر لتطوير واجهات برمجة التطبيقات (API)، على ثغرة إعادة توجيه مفتوحة قائمة على DOM في الصفحة ’/enter‘. تُستخدم معلمة الاستعلام `redirect` لإنشاء عنوان URL وإعادة توجيه المستخدم دون التحقق من صحة البيانات. التوصيات التحديث إلى الإصدار 2026.3.0 أو أحدث.

نقاط نهاية واجهة برمجة التطبيقات (API) الحساسة الخاصة بإدارة المثيلات مكشوفة دون مصادقة. يمكن للمهاجمين غير المصادق عليهم الاستعلام عن نقاط النهاية مثل ’/api/v1/consolidated-api/view‘ و ’/api/v1/tenants/current‘ لاسترداد بيانات التعريف الخاصة بالتكوين ومعلومات الترخيص وتجزئات SHA-256 غير المملحة لنطاقات البريد الإلكتروني الخاصة بالمسؤولين، وذلك لأغراض الاستطلاع والتخطيط للهجمات الموجهة.

Chamilo LMS هو نظام لإدارة التعلم. يوجد ثغرة في ميزة استيراد H5P تتيح للمستخدمين المصادق عليهم الذين يحملون دور «المعلم» تنفيذ التعليمات البرمجية عن بُعد (RCE). تقتصر عملية التحقق من صحة حزم H5P التي يقوم بها النظام على التأكد من وجود ملف `h5p.json` فقط، دون أن تحجب الملفات التي قد تكون ضارة مثل ملفات `.htaccess` أو ملفات PHP ذات الامتدادات البديلة. يمكن للمهاجم تحميل حزمة H5P مصممة خصيصًا تحتوي على واجهة ويب (webshell) وملف `.htaccess`. يتيح ملف `.htaccess` تنفيذ PHP لملفات `.txt`، مما يؤدي فعليًّا إلى تجاوز الضوابط الأمنية. **نقطة نهاية واجهة برمجة التطبيقات (API)** المعنية هي ميزة استيراد H5P. المكون المعرض للخطر هو عملية التحقق من صحة حزمة H5P، وتحديدًا الوظيفة التي تتحقق من وجود ملف `h5p.json`. يقوم المهاجم بالتلاعب بملف `h5p.json` والملفات المرتبطة به داخل حزمة H5P.

يحتوي Cloud CLI، وهو واجهة مستخدم للكمبيوتر المكتبي والأجهزة المحمولة لـ Claude Code و Cursor CLI و Codex و Gemini-CLI، على ثغرة ناتجة عن حقن أوامر نظام التشغيل عبر WebSocket Shell. يتم دمج المعلمتين `projectPath` و `initialCommand` الموجودتين في ملف `server/index.js` مباشرةً في سلسلة أوامر bash دون تنقية مناسبة، مما يسمح بتنفيذ أوامر نظام التشغيل بشكل تعسفي. توجد نقطة حقن أخرى من خلال `sessionId` غير المطهر. تسمح هذه المشكلة بتنفيذ تعليمات برمجية عن بُعد دون مصادقة على أي مثيل يعمل بالتكوين الافتراضي. السبب الجذري هو سر JWT الافتراضي غير الآمن مقترنًا بوظيفة مصادقة WebSocket التي تتجاوز التحقق من صحة مستخدم قاعدة البيانات. تسمح هذه الثغرة بتنفيذ تعليمات نظام التشغيل بالكامل، والوصول إلى نظام الملفات، وسرقة بيانات الاعتماد، والتحرك الجانبي المحتمل داخل الشبكة. كما أن المعلمة `projectPath` معرضة لحقن الهروب باستخدام علامات الاقتباس المزدوجة.

Cloud CLI (المعروف أيضًا باسم Claude Code UI) هو واجهة مستخدم للكمبيوتر المكتبي والأجهزة المحمولة لـ Claude Code و Cursor CLI و Codex و Gemini-CLI. تستخدم العديد من نقاط نهاية واجهة برمجة التطبيقات (API) المرتبطة بـ Git الدالة `execAsync()` مع إدراج سلاسل نصية للمعلمات التي يتحكم فيها المستخدم – وتحديدًا `file` و `branch` و `message` و `commit` – مما يمكّن المهاجمين المصادق عليهم من تنفيذ أوامر تعسفية لنظام التشغيل. يحاول التطبيق إخفاء علامات الاقتباس المزدوجة في بعض المعلمات، ولكن يمكن تجاوز هذه الحماية باستخدام أحرف خاصة في شل مثل استبدال الأوامر ($(command) أو `command`) وتسلسل الأوامر (; ، &&، ||). تتأثر نقاط نهاية واجهة برمجة التطبيقات (API) التالية: `/api/git/diff` (مع المعلمة `file`)، و`/api/git/status` (مع المعلمة `file`)، و`/api/git/commit` (مع المصفوفة `files` والمعلمة `message`)، و`/api/git/checkout` (مع المعلمة `branch`)، و`/api/git/create-branch` (مع المعلمة `branch`)، و`/api/git/commits` (مع المعلمة `commit`)، و`/api/git/commit-diff` (مع المعلمة `commit`)، و`/api/git/file-with-diff` (مع المعلمة `file`)، و`/api/git/generate-commit-message` (مع المعلمة `file`)، و`/api/git/discard` (مع المعلمة `file`)، و`/api/git/publish` (مع المعلمة `branch`). وقد يؤدي الاستغلال الناجح إلى تنفيذ تعليمات برمجية عن بُعد بصفتك مستخدم عملية Node.js، مما قد يؤدي إلى اختراق الخادم بالكامل وتسريب البيانات. *

SiYuan هو نظام لإدارة المعرفة الشخصية. تتيح نقطة النهاية `/api/network/forwardProxy` للمستخدمين المصادق عليهم إرسال طلبات HTTP عشوائية من الخادم. تقبل نقطة النهاية عنوان URL يحدده المستخدم وترسل طلبات HTTP إليه، وتُرجع نص الاستجابة الكامل ورؤوسها. لا توجد عملية تحقق من صحة عنوان URL لمنع الطلبات الموجهة إلى الشبكات الداخلية أو المضيف المحلي (localhost) أو خدمات البيانات الوصفية السحابية. وقد يتيح ذلك للمهاجمين إجراء استطلاع للشبكة الداخلية، مما قد يؤدي إلى سرقة بيانات اعتماد الخدمات السحابية، أو تسريب البيانات، أو تجاوز جدران الحماية. يوجد الكود المعرض للخطر في ملف `/kernel/api/network.go` (الأسطر 153-317) داخل دالة `forwardProxy`، التي تتحقق فقط من صحة تنسيق عنوان URL دون التحقق من الوجهة. المعلمة `url` داخل الحمولة JSON المرسلة إلى نقطة النهاية `/api/network/forwardProxy` تخضع لسيطرة المستخدم.

Cloud CLI (المعروف أيضًا باسم Claude Code UI) هو واجهة مستخدم للكمبيوتر المكتبي والأجهزة المحمولة لـ Claude Code و Cursor CLI و Codex و Gemini-CLI. تقوم نقطة النهاية `/api/user/git-config` بإنشاء أوامر شل باستخدام قيم `gitName` و`gitEmail` التي يقدمها المستخدم، وتمريرها إلى `child process.exec()`. يتم وضع المدخلات بين علامتي اقتباس مزدوجتين، ولكن يتم تجنب علامات الاقتباس المزدوجة فقط، مما يترك علامات الاقتباس العكسية (`)، واستبدال الأوامر `$()`، وتسلسلات `` عرضة للتفسير داخل bash. وهذا يسمح للمهاجمين المصادق عليهم بتنفيذ أوامر تعسفية لنظام التشغيل من خلال نقطة نهاية تكوين git. ويوجد الكود المعرض للخطر في ملف `server/routes/user.js` (السطران 58-59). ويتضمن الاستغلال حقن أوامر ضارة عبر المعلمة `gitName` باستخدام استبدال الأوامر، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد (RCE) بصفتك مستخدم عملية Node.js. يمكن تعديل تكوين git على مستوى الخادم، مما يؤثر على جميع عمليات git. وعند اقتران ذلك بتجاوز لمصادقة JWT، قد يؤدي ذلك إلى تنفيذ كود عن بُعد (RCE) دون مصادقة.

يحتوي Glances، وهو أداة مراقبة النظام متعددة المنصات، على ثغرة أمنية في وحدة التصدير الخاصة بـ TimescaleDB. تقوم هذه الوحدة بإنشاء استعلامات SQL عن طريق ربط سلاسل نصية ببيانات مراقبة النظام غير المدققة. تقوم الدالة `normalize()` بتضمين قيم السلاسل بين علامات الاقتباس المفردة، لكنها لا تقوم بإخراج أي علامات اقتباس مفردة مضمنة، مما يسمح بحقن SQL بسيط. يمكن للمهاجمين التحكم في بيانات مثل أسماء العمليات ونقاط تركيب نظام الملفات وأسماء واجهات الشبكة وأسماء الحاويات لاستغلال هذا الخلل. تكمن الثغرة الأمنية في الدالة `normalize()` داخل الملف `glances/exports/glances timescaledb/ init .py` (الأسطر 79-93) وفي قسم بناء الاستعلام (الأسطر 201-205). تُثبت تجربة إثبات المفهوم أن مستخدمًا عاديًا يمكنه إنشاء عملية باسم يحتوي على حمولة لحقن SQL، ومن ثم، عند تشغيل Glances مع تصدير TimescaleDB، يتم إنشاء ملف في الدليل /tmp، مما يشير إلى نجاح عملية حقن SQL. تشمل الآثار المحتملة تدمير البيانات، وتسريب البيانات، وإمكانية تنفيذ التعليمات البرمجية عن بُعد، وتصعيد الامتيازات. ترجع هذه الثغرة الأمنية إلى التنفيذ المباشر لاستعلامات SQL المتسلسلة دون استخدام الاستعلامات المعلمة.

Budibase هي منصة «لو كود» تُستخدم لإنشاء أدوات داخلية، وسير عمل، ولوحات تحكم إدارية. توجد ثغرة في برنامج الوسيط `authorized()` الخاص بالخادم، والمصمم لحماية نقاط نهاية واجهة برمجة التطبيقات (API) من جانب الخادم. عند إرفاق نمط مسار webhook بسلسلة الاستعلام لأي طلب، يمكن للمهاجم تجاوز برنامج الوسيط هذا. تستخدم الدالة `isWebhookEndpoint()` تعبيرًا منتظمًا غير مثبتًا يقوم بتقييم عنوان URL بالكامل، بما في ذلك معلمات الاستعلام، عبر `ctx.request.url`. عند حدوث تطابق، تقوم البرمجية الوسيطة `authorized()` باستدعاء `return next()` على الفور، مما يؤدي فعليًّا إلى تجاهل جميع عمليات المصادقة والتفويض والتحقق من الوظائف وحماية CSRF. وهذا يسمح لمهاجم بعيد غير مصادق عليه بالوصول إلى أي نقطة نهاية لواجهة برمجة التطبيقات (API) من جانب الخادم. المكونان المعرضان للخطر هما الوسيطة `authorized()` والدالة `isWebhookEndpoint()`. نقاط نهاية واجهة برمجة التطبيقات (API) معرضة لهذا الثغرة. المعلمة المعرضة للخطر هي سلسلة الاستعلام.

توجد مشكلة تتعلق بتسريب المعلومات دون مصادقة في نقطة النهاية GET `/api/v1/status-page/:url`. لا تتطلب نقطة النهاية المصادقة ولا تتحقق من نشر صفحة الحالة قبل الكشف عن التفاصيل الكاملة لصفحة الحالة. وهذا يسمح لأي مستخدم غير مصادق عليه بالوصول إلى صفحات الحالة غير المنشورة وبياناتها الداخلية من خلال طلبات مباشرة إلى واجهة برمجة التطبيقات (API). المعلمة المعرضة للخطر هي `url`.

Glances هي أداة لمراقبة النظام تعمل على منصات متعددة. تعيد نقطة نهاية واجهة برمجة التطبيقات (API) REST ’/api/4/config‘ ملف التكوين الكامل لـ Glances (glances.conf) دون تصفية القيم الحساسة. يحتوي ملف التكوين هذا على بيانات اعتماد لخدمات الخلفية، بما في ذلك كلمات مرور قواعد البيانات، ورموز API، ومفاتيح توقيع JWT، وكلمات مرور مفاتيح SSL. تنشأ الثغرة الأمنية من الطريقة `as dict()` في ملف `config.py`، التي تتجول عبر جميع أقسام ومفاتيح التكوين دون تطبيق أي إخفاء. لا تتطلب نقطة نهاية واجهة برمجة التطبيقات (API) أي مصادقة عند تشغيلها بدون كلمة مرور. يتضمن الاستغلال استرداد ملف التكوين عبر طلب HTTP بسيط، مما يسمح للمهاجمين باستخراج معلومات حساسة وربما اختراق البنية التحتية بأكملها.

لا تتطلب نقطة النهاية `/objects/playlistsFromUser.json.php` أي مصادقة أو تفويض، مما يسمح لمهاجم غير مصادق عليه بتعداد معرّفات المستخدمين واسترداد معلومات قوائم التشغيل، بما في ذلك أسماء قوائم التشغيل ومعرّفات الفيديو وحالة قائمة التشغيل، لأي مستخدم على المنصة. تقبل نقطة النهاية معلمة `users id` وتستعلم مباشرةً من قاعدة البيانات دون أي تحقق من المصادقة أو التفويض. قد يؤدي ذلك إلى انتهاكات للخصوصية، وتعداد المستخدمين، وجمع المعلومات، وهجمات موجهة محتملة. الملف المعرض للثغرة هو `objects/playlistsFromUser.json.php`. تُستخدم الدالة `getAllFromUser()` لاسترداد بيانات قوائم التشغيل دون التحقق من صلاحية وصول المستخدم.

توجد ثغرة أمنية من نوع «Zip Slip» في وظيفة استعادة النسخ الاحتياطي، مما يسمح بالكتابة التعسفية فوق الملفات من خلال تجاوز المسار في ملفات ZIP التي تم تحميلها. يستخدم التطبيق `zipfile.extractall()` دون التحقق من صحة مسارات المدخلات، مما يسمح للمهاجمين بالخروج من دليل الاستخراج باستخدام تسلسلات «../». قد يحتوي ملف ZIP ضار على عناصر مصممة خصيصًا للكتابة فوق الملفات الحساسة، مثل المفتاح السري لـ Flask (`/secret.txt`) وإعدادات التطبيق (`changedetection.json`) وإعدادات المراقبة (`url-watches.json` أو `watch.json` داخل دليل UUID). يتم استغلال الثغرة الأمنية عند تحميل ملف ZIP مصمم خصيصًا لهذا الغرض عبر وظيفة استعادة النسخ الاحتياطي في نقطة النهاية `/backups/restore`. وتعتبر الدالة `restore backup()` (الأسطر 50-53) عرضة للخطر. يمكن للمهاجمين تحميل ملفات ZIP تحتوي على محتوى ضار، والتي يتم بعد ذلك كتابتها في مواقع حساسة في النظام.

يتيح تطبيق changedetection.io للمستخدمين تحديد تعبيرات XPath كمرشحات للمحتوى عبر الحقل `include filters`. تتم معالجة تعبيرات XPath هذه باستخدام مكتبة elementpath، التي تنفذ مواصفات XPath 3.0/3.1. يتضمن XPath 3.0 الدالة `unparsed-text()`، التي يمكنها قراءة ملفات عشوائية من نظام الملفات. لا يقوم التطبيق بالتحقق من صحة تعبيرات XPath أو تنقيتها لمنع استخدام الدوال الخطيرة، مما يسمح للمهاجم بقراءة أي ملف يمكن لعملية التطبيق الوصول إليه. يقع الكود المعرض للخطر في الملف `html tools.py`، وتحديدًا داخل الدالة `xpath filter()` (الأسطر 187-220). تتحقق عملية التحقق من صحة التطبيق في ملف `forms.py` فقط من صحة بناء جملة تعبير XPath ولا تمنع استخدام الدوال الخطيرة مثل `unparsed-text()`. يمكن للمهاجم استغلال هذه الثغرة عن طريق تعيين الحقل `include filters` بتعبير XPath يستخدم `unparsed-text()` لقراءة ملفات عشوائية، مثل /etc/passwd.