Oxqnd

توجد مشكلة رفض الخدمة (DoS) في الدالة `request.form()` عند معالجة طلبات `application/x-www-form-urlencoded`. في حين يتم فرض حدود `max fields` و`max part size` على `multipart/form-data`، يتم تجاهلها بالنسبة للنصوص الأساسية المشفرة عبر عنوان URL. وهذا يسمح لمهاجم غير مصدق الهوية باستنفاد الموارد من خلال طريقتين: إرسال عدد كبير من الحقول (على سبيل المثال، 1,000,000 حقل)، مما يؤدي إلى حظر حلقة أحداث العامل واستهلاك وحدة المعالجة المركزية (CPU)، أو إرسال حقل واحد كبير جدًا، مما يؤدي إلى تخصيص ذاكرة غير محدودة.

يتم تنفيذ نصين برمجيين من نوع shell، وهما `pihole-FTL-prestart.sh` و`pihole-FTL-poststop.sh`، بواسطة systemd بصفة الجذر (root)، ويقومان بقراءة مسار ملف `files.pid` من ملف التكوين دون التحقق من صحته، ثم يستخدمانه في عمليات ملفات ذات امتيازات خاصة. يمكن للمهاجم الذي يتمتع بامتيازات pihole كتابة مسار تعسفي في ملف `files.pid` لحمل المستخدم الجذر على حذف وإعادة إنشاء أي ملف على النظام خارج الدلائل التي تخضع لـ ProtectSystem=full-restricted، مما يمنحه حق الوصول للكتابة إلى تلك الملفات. في التثبيتات الافتراضية، يتيح هذا تصعيد الامتيازات المحلية إلى الجذر من خلال التلاعب بمفاتيح SSH المصرح بها.

يمكن تجاوز عملية التحقق من صحة سطر الطلب عند إنشاء كائن `DefaultHttpRequest` أو `DefaultFullHttpRequest` ثم تعديل عنوان URI الخاص به لاحقًا باستخدام الدالة `setUri()`. في حين أن منشئات الكائنات ترفض أحرف CRLF (Carriage Return Line Feed) وأحرف المسافات البيضاء لمنع تلف بداية السطر، فإن `setUri()` لا تقوم بهذا التحقق. ونتيجة لذلك، يقوم كل من `HttpRequestEncoder` و`RtspEncoder` بكتابة عنوان URI في سطر الطلب حرفياً. إذا تم تمرير مدخلات يسيطر عليها المهاجم إلى `setUri()`، فإن ذلك يتيح حقن أحرف CRLF وإدراج طلبات HTTP أو RTSP إضافية. قد يؤدي ذلك إلى تهريب طلبات HTTP، وفقدان التزامن على جانب HTTP، وحقن الطلبات على جانب RTSP.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات AIOHTTP السابقة للإصدار 3.13.4 الوصف سمح محلل C، المستخدم افتراضيًا في معظم عمليات التثبيت، بوجود بايتات فارغة وأحرف تحكم داخل رؤوس الاستجابة. يمكن للمهاجم استغلال ذلك لإرسال قيم رؤوس يتم تفسيرها بشكل غير متوقع بسبب وجود أحرف التحكم. على سبيل المثال، قد تُرجع `request.url.origin()` قيمة مختلفة عن رأس Host الخام، مما قد يؤدي إلى تجاوز الأمان. التوصيات التحديث إلى الإصدار 3.13.4 أو أحدث.

يُعتبر NiceGUI، وهو إطار عمل لواجهة المستخدم (UI) قائم على لغة Python، عرضة لهجمات البرمجة النصية عبر المواقع (XSS) عندما يقوم المطورون بعرض مدخلات المستخدم غير المُعالجة في DOM باستخدام `ui.html()`. لم يكن إطار العمل يطبق عملية تنقية HTML أو JavaScript قبل الإصدار 3.0.0، مما يسمح للمهاجمين بتنفيذ جافا سكريبت تعسفي في متصفح المستخدم في حالة قيام التطبيقات بدمج مكونات مثل `ui.input()` مباشرةً مع `ui.html()` أو `ui.chat message` مع محتوى HTML دون إجراء عملية الهروب اللازمة. يحدث مسار الكود المعرض للخطر عندما يتم عرض مدخلات المستخدم حرفياً في DOM للصفحة عبر `innerHTML`. يثبت نموذج إثبات المفهوم أن حقن حمولة ضارة، مثل `<img src=x onerror=alert(’XSS‘)>`، يؤدي إلى ظهور تنبيه JavaScript. تؤثر هذه المشكلة على التطبيقات التي تعكس مدخلات المستخدم مباشرةً عبر `ui.html()` أو `ui.chat message` في وضع HTML، مما قد يؤدي إلى تنفيذ كود على جانب العميل، بما في ذلك اختطاف الجلسة أو التصيد الاحتيالي.