Odgrso

تفشل بعض نقاط النهاية في فرض فحوصات الأذونات المناسبة، مما يسمح للمهاجمين المصرح لهم الذين يمتلكون حسابات ذات صلاحيات منخفضة بالوصول إلى البيانات المالية وقراءتها بما يتجاوز صلاحيات دورهم المحددة.

يؤدي غياب التحقق من صحة المدخلات في بعض نقاط النهاية إلى إمكانية تنفيذ حقن SQL من قبل المهاجمين المصرح لهم. يمكن للمهاجم إرسال طلبات مصممة خصيصًا للتلاعب باستعلامات قاعدة البيانات واستخراج معلومات حساسة منها.

يؤدي غياب التحقق من صحة المدخلات في بعض نقاط النهاية إلى إمكانية قيام المهاجمين المصرح لهم بتنفيذ حقن SQL، وهي تقنية تُستخدم للتلاعب باستعلامات قاعدة البيانات. ومن خلال إرسال طلبات مصممة خصيصاً، يمكن للمهاجم استخراج معلومات حساسة من قاعدة البيانات.

توجد ثغرة cross-site scripting مخزنة بسبب عدم تحييد أسماء سجلات معينة بشكل صحيح عند عرضها على لوحات المعلومات والأدوات والبوابات. يمكن للمهاجمين المصرح لهم إنشاء أسماء سجلات خبيثة لتنفيذ برمجيات نصية في متصفحات مستخدمين آخرين، مما قد يؤدي إلى الوصول إلى البيانات وتعديلها وسرقة الرموز (tokens)، خاصة ضد المستخدمين ذوي الصلاحيات العالية.

يؤدي فقدان التحقق من صحة المدخلات في بعض نقاط النهاية إلى إمكانية قيام المهاجمين المصرح لهم بتنفيذ حقن SQL. من خلال إرسال طلبات مصممة خصيصاً، يمكن للمهاجم حقن SQL في استعلامات قاعدة البيانات لاستخراج معلومات حساسة من قاعدة البيانات الأساسية.

يؤدي غياب التحقق من صحة المدخلات في بعض نقاط النهاية إلى إمكانية قيام مهاجمين مصرح لهم بصلاحيات منخفضة بتنفيذ حقن SQL. من خلال إرسال طلبات مصممة خصيصاً، يمكن للمهاجم حقن أوامر SQL لاستخراج معلومات حساسة من قاعدة البيانات.

يؤدي غياب التحقق من صحة المدخلات في نقاط نهاية متعددة إلى إمكانية قيام المهاجمين المصرح لهم بتنفيذ حقن SQL. من خلال إرسال طلبات مصممة خصيصاً، يمكن للمهاجم التلاعب باستعلامات قاعدة البيانات لاستخراج معلومات حساسة.

توجد مشكلة في البرمجة النصية عبر المواقع (XSS) قائمة على DOM في معاينة HTML، والتي تعرض ناتج التنفيذ في `iframe srcdoc` بدون السمة `sandbox`. ويسمح تجاوز أداة التنقية بتنفيذ البرامج النصية المُحقنة بنفس مصدر المحرر. وهذا يمكّن الحساب الذي يتمتع بامتيازات `global:member` من استدعاء واجهات برمجة التطبيقات (API) المصادق عليها باستخدام جلسة عمل الضحية عند فتح المعاينة.

تقوم وحدة ”Token Exchange“ بتعيين جميع نطاقات مفاتيح واجهة برمجة التطبيقات العامة (Public API) إلى رموز JSON Web Tokens (JWT) الصادرة، متجاهلة الدور الفعلي للمستخدم الذي يقوم بهذه العملية. في البيئات التي يتم فيها تمكين ميزة ”Token Exchange“ وواجهة برمجة التطبيقات العامة (Public API)، يمكن لمستخدم ذي امتيازات منخفضة يمتلك رمز JWT خارجي صالحًا صادرًا عن جهة إصدار موثوقة استخدام رمز الوصول الناتج لتنفيذ عمليات واجهة برمجة التطبيقات العامة (Public API) المخصصة للمسؤولين فقط، بما في ذلك إنشاء المستخدمين وحذفهم وترقية الأدوار. علاوة على ذلك، إذا تم تمكين تثبيت حزم المجتمع غير المُثبتة، فقد يؤدي ذلك إلى تنفيذ التعليمات البرمجية عن بُعد.

توجد ثغرة في مكون «محدد موقع الموارد» (Resource Locator) تتعلق بـ«البرمجة النصية عبر المواقع» (XSS) المخزنة في DOM. يقوم المكون بتمرير المعلمة `cachedResultUrl`، التي يتم الاحتفاظ بها في سير العمل، إلى الدالة `window.open()` دون التحقق من صحة المخطط. يمكن للمهاجم الذي يتمتع بامتيازات إنشاء أو تعديل سير العمل تضمين مخطط ضار، مثل `javascript:`، في المتغير `cachedResultUrl`. وعندما يفتح الضحية سير العمل المصمم خصيصًا ويتفاعل مع الروابط الخارجية، يتم تنفيذ الحمولة الضارة داخل متصفح الضحية.

Mastodon هو خادم شبكة اجتماعية مجاني ومفتوح المصدر يعتمد على ActivityPub. هناك عيب في تعريف مصطلح JSON-LD `attributionDomains` يجعل توقيعات البيانات المرتبطة (Linked Data Signatures) على الخاصية `toot:attributionDomains` غير فعالة. وهذا يسمح للمهاجم بتعديل قيمة `attributionDomains` بشكل تعسفي لنشاط تحديث موقّع بشكل شرعي وتجاوز التحقق من التوقيع، مما قد يؤدي إلى ادعاءات إسناد خاطئة.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Vite من 6.0.0 إلى 6.4.1، و7.3.2، و8.0.5 الوصف يعالج خادم التطوير Vite طلبات .map الخاصة بالتبعيات المُحسّنة بشكل غير صحيح. فهو يقوم بحل مسارات الملفات واستدعاء readFile دون تقييد مقاطع ’../‘ في عنوان URL، مما قد يسمح بتجاوز قائمة السماح server.fs.strict واسترداد ملفات .map الموجودة خارج جذر المشروع إذا كانت ملفات JSON صالحة لخريطة المصدر. وقد يؤدي ذلك إلى كشف محتوى حساس إذا كان الخادم معرضًا للشبكة ووجدت مسارات يمكن التنبؤ بها لملفات .map. التوصيات قم بالتحديث إلى إصدار Vite 6.4.2 أو أحدث، أو 7.3.2، أو 8.0.5.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Vite من 6.0.0 إلى 6.4.1، و7.3.2، و8.0.5 الوصف كان برنامج Vite، وهو إطار عمل لأدوات الواجهة الأمامية بلغة JavaScript، يعاني من ثغرة أمنية تتمثل في عدم تطبيق فحص `server.fs` على طريقة `fetchModule` المتاحة عبر WebSocket لخادم التطوير الخاص بـ Vite. إذا أمكن إنشاء اتصال بـ WebSocket الخاص بخادم التطوير لـ Vite بدون رأس Origin، فيمكن للمهاجم استدعاء `fetchModule` عبر حدث WebSocket المخصص `vite:invoke` ودمج `file://...` مع `?raw` (أو `?inline`) لاسترداد محتويات ملفات عشوائية على الخادم كسلسلة JavaScript. لم يتم تطبيق ضوابط الوصول المفروضة في مسار طلب HTTP على مسار التنفيذ هذا القائم على WebSocket. وقد يؤدي ذلك إلى الكشف عن ملفات عشوائية على الخادم، بما في ذلك تلك الموجودة في جهاز التطوير أو بيئة التكامل المستمر (CI) أو الحاوية. التوصيات تحديث Vite إلى الإصدار 6.4.2 أو أحدث، أو 7.3.2، أو 8.0.5.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Vite من 7.1.0 إلى 7.3.1 ومن 8.0.0 إلى 8.0.4 الوصف يسمح Vite، وهو إطار عمل لأدوات الواجهة الأمامية لـ JavaScript، باسترداد الملفات المحظورة بواسطة `server.fs.deny` (مثل ملفات .env و*.crt) مع استجابات HTTP 200 عندما تُلحق معلمات استعلام محددة مثل ?raw أو ?import&raw أو ?import&url&inline بالطلب. يحدث هذا عندما يكون خادم التطوير الخاص بـ Vite متصلاً بالشبكة وتكون الملفات الحساسة مسموحة بواسطة `server.fs.allow` وممنوعة بواسطة `server.fs.deny` في الوقت نفسه. التوصيات يجب تحديث إصدارات Vite من 7.1.0 إلى 7.3.1 إلى الإصدار 7.3.2 أو أحدث. يجب تحديث إصدارات Vite من 8.0.0 إلى 8.0.4 إلى الإصدار 8.0.5 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة Directus (لم يتم تحديد الإصدارات المتأثرة) الوصف عند تكوين `GRAPHQL INTROSPECTION=false`، يقوم Directus بحظر استعلامات الاستبطان القياسية في GraphQL، لكن مُحلل `server specs graphql` الخاص بنقطة النهاية `/graphql/system` يُرجع تمثيلًا SDL مكافئًا للمخطط. يؤدي ذلك إلى تجاوز ضوابط الاستبطان، مما يعرض بنية المخطط (أسماء المجموعات، وأسماء الحقول، والأنواع، والعلاقات) للمستخدمين غير المصادق عليهم على مستوى الأذونات العامة، وللمستخدمين المصادق عليهم على مستوى الأذونات المسموح لهم بها. كان لدى المسؤولين الذين قاموا بتعيين `GRAPHQL INTROSPECTION=false` شعور زائف بالأمان، حيث ظلت معلومات المخطط متاحة عبر نقطة نهاية SDL. التوصيات في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Directus الأقدم من 11.17.0 الوصف تحتوي واجهة برمجة تطبيقات (API) إدارة الملفات في Directus على ثغرة في التحكم في الوصول تسمح للمستخدمين المصادق عليهم بالكتابة فوق ملفات تخص مستخدمين آخرين من خلال التلاعب بالمعلمة `filename disk` في نقطة النهاية `PATCH /files/{id}`. من خلال تعيين هذه القيمة لتتطابق مع مسار تخزين ملف مستخدم آخر، يمكن للمهاجم الكتابة فوق محتوى الملف والتلاعب بحقول البيانات الوصفية مثل `uploaded by` لإخفاء عملية التلاعب. وقد يؤدي ذلك إلى الكتابة غير المصرح بها فوق الملفات، واحتمال تنفيذ التعليمات البرمجية عن بُعد إذا كانت البنية الخلفية للتخزين مشتركة مع موقع الملحقات، وانتهاك سلامة البيانات. التوصيات التحديث إلى الإصدار 11.17.0 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Directus الأقدم من 11.16.0 الوصف يوجد ثغرة في Directus تسمح بتجاوز الحماية ضد تزوير الطلبات من جانب الخادم (SSRF). يمكن التحايل على عملية التحقق من عنوان IP المستخدمة لحجب الطلبات الموجهة إلى الشبكات المحلية والخاصة باستخدام صيغة عناوين IPv6 المقترنة بـ IPv4. فشلت آلية التحقق في توحيد عناوين IPv6 المقترنة بـ IPv4 قبل مقارنتها بقائمة الحظر، مما سمح للمهاجم بتجاوز هذا القيد. وقد يتيح ذلك لمستخدم تمت مصادقته (أو مستخدم لم تتم مصادقته إذا تم تمكين أذونات استيراد الملفات العامة) تنفيذ هجمات SSRF ضد الخدمات الداخلية أو نقاط نهاية بيانات تعريف مثيلات السحابة. التوصيات التحديث إلى الإصدار 11.16.0 أو أحدث.

توجد مشكلة تتمثل في أن المرفقات من التدفقات العامة على الويب تظل متاحة بشكل مجهول حتى بعد تعطيل وصول المتفرجين عبر `enable spectator access` أو `WEB PUBLIC STREAMS ENABLED`. بالإضافة إلى ذلك، تظل نقطة النهاية ’/users/me/<stream id>/topics‘ قابلة للوصول بشكل مجهول، مما يسمح بالاسترجاع غير المصرح به لسجل المواضيع في التدفقات العامة على الويب.

Connect-CMS هو نظام لإدارة المحتوى. قد يتمكن المستخدم المصادق عليه من تنفيذ تعليمات برمجية عشوائية في المكون الإضافي Code Study Plugin. في حالة استغلال هذه الثغرة، قد يؤدي ذلك إلى تنفيذ تعليمات برمجية على الخادم أو الكشف عن المعلومات.

توجد ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع المخزنة» (XSS) في حقل الملفات بمكوّن «Form Plugin». في حالة استغلال هذه الثغرة، يمكن تشغيل برمجيات نصية تعسفية في متصفح المسؤول، مما قد يؤدي إلى إجراءات غير مصرح بها أو سرقة المعلومات.