Netkingj

يقوم سير عمل النشر المستقر بإدراج `steps.release.outputs.body` مباشرة في أمر echo الخاص بـ Bash قبل كتابة ملف RAW RELEASE.md. يسمح هذا بتنفيذ رموز shell الميتا التي يتحكم فيها المساهم في نص ملاحظات الإصدار عندما يبدأ المسؤول إصدارًا مستقرًا. يمكن أن يؤدي هذا التنفيذ إلى تعديل نصوص عمل مساحة العمل أو المصنوعات الناتجة، مما يؤثر على خطوات الإصدار اللاحقة التي تمتلك أذونات الكتابة و `GITHUB TOKEN`.

يحتوي وضع HTTP في @tsparticles/mcp-server على خلل حيث يتم استدعاء `JSON.parse` خارج حدود خطأ محلية للطلب في نقطة النهاية POST '/mcp'. يمكن لمستخدم غير مصرح له إرسال جسم JSON مشوه، مما يؤدي إلى حدوث SyntaxError يتسبب في إنهاء عملية Node.js. يؤدي ذلك إلى حجب الخدمة، مما يجعل خدمة MCP غير متاحة حتى يتم إعادة تشغيلها بواسطة مشرف خارجي.

يعيد وضع HTTP في الخادم استخدام `StreamableHTTPServerTransport` واحد ذو حالة لكل عميل. يمكن لعميل غير مصرح له الاستيلاء على حالة النقل المشتركة عن طريق إرسال طلب تهيئة أولي بدون `mcp-session-id`. يتسبب هذا الإجراء في تلقي العملاء المستقلين اللاحقين خطأ يفيد بأن الخادم تم تهيئته بالفعل، مما يمنعهم من إنشاء جلسات حتى يتم إعادة تشغيل العملية، بينما تظل جلسة العميل الأول تعمل.

The issue is related to an improper authorization vulnerability that allows physical attackers to partially bypass the factory reset protection. This vulnerability can be exploited by physical attackers.

The issue is related to improper access control, allowing a physical attacker to install a package before the completion of the Setup wizard. This can be exploited by a physical attacker.

The issue is related to an Improper Protection of Alternate Path vulnerability in the Setup wizard process. This vulnerability allows a physical attacker to install packages before finishing the Setup wizard.