Ochk0

The bundle configuration engine allows remote code execution because it resolves ` target ` values to arbitrary importable callables without using an allow list and passes `$` expressions to the Python `eval()` function. An attacker can publish a malicious bundle with a crafted configuration containing arbitrary code that executes when a victim uses the `monai.bundle.load()` or `monai.bundle.run()` functions.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Vite من 6.0.0 إلى 6.4.1، و7.3.2، و8.0.5 الوصف يعالج خادم التطوير Vite طلبات .map الخاصة بالتبعيات المُحسّنة بشكل غير صحيح. فهو يقوم بحل مسارات الملفات واستدعاء readFile دون تقييد مقاطع ’../‘ في عنوان URL، مما قد يسمح بتجاوز قائمة السماح server.fs.strict واسترداد ملفات .map الموجودة خارج جذر المشروع إذا كانت ملفات JSON صالحة لخريطة المصدر. وقد يؤدي ذلك إلى كشف محتوى حساس إذا كان الخادم معرضًا للشبكة ووجدت مسارات يمكن التنبؤ بها لملفات .map. التوصيات قم بالتحديث إلى إصدار Vite 6.4.2 أو أحدث، أو 7.3.2، أو 8.0.5.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات OpenProject السابقة للإصدار 17.2.3 الوصف يوجد في OpenProject، وهو برنامج لإدارة المشاريع يعمل عبر الويب، مشكلة تتمثل في تضمين مدخلات المستخدم مباشرةً في جمل WHERE في لغة SQL دون تحديد المعلمات بشكل صحيح. ويحدث ذلك بسبب عامل التشغيل =n الموجود في الملف modules/reporting/lib/report/operator.rb:177. وقد يؤدي ذلك إلى إمكانية حدوث حقن SQL. تؤثر هذه المشكلة على المستخدمين المصادق عليهم وقد تمنحهم إمكانية الوصول إلى قاعدة البيانات. التوصيات التحديث إلى الإصدار 17.2.3 أو أحدث.

يحتوي برنامج fast-xml-parser على ثغرة في طريقة تعامله مع أسماء كيانات DOCTYPE أثناء تحليل XML. وعلى وجه التحديد، يتم التعامل مع النقطة (.) الموجودة داخل اسم الكيان كحرف بديل في تعبير عادي (regex) أثناء استبدال الكيانات. وهذا يسمح للمهاجم بإخفاء أو استبدال كيانات XML الأصلية، مثل (<، >، &، "، ')، بقيم عشوائية، متجاوزًا بذلك ترميز الكيانات. وقد يؤدي ذلك إلى حدوث هجمات «التنفيذ البرمجي عبر المواقع» (XSS) عند عرض المخرجات التي تم تحليلها، أو قد يؤدي إلى تسريب المعلومات أو «تزوير الطلبات من جانب الخادم» (SSRF). توجد هذه المشكلة في الإصدارين 5 و6 من المكتبة. يقوم المحلل ببناء تعبيرات منتظمة ديناميكيًا استنادًا إلى أسماء كيانات DOCTYPE غير موثوقة. يؤدي اسم كيان مثل «l.» إلى إنشاء تعبير عادي يطابق أي حرف، مما يؤدي فعليًّا إلى إخفاء الكيان «<». تؤثر هذه الثغرة الأمنية على التطبيقات التي تقوم بتحليل XML غير موثوق به وتستخدم الناتج في سياقات حساسة للحقن. يتأثر حوالي 40 مليون تنزيل أسبوعي من npm بهذه الثغرة.