P-

كان من الممكن استخدام نقطة النهاية «spreadsheet-import» `axiosRequestMake` كوكيل HTTP عام. كان من الممكن الوصول إلى نقطة النهاية هذه دون مصادقة، وكانت قائمة السماح بامتدادات عناوين URL الخاصة بها تستخدم تعبيرًا عاديًا يتم اختباره مقابل سلسلة عنوان URL الكاملة. وقد سمح ذلك للمهاجمين بتجاوز القيود عن طريق إضافة `.csv` إلى سلسلة الاستعلام، مما مكن عملية NocoDB من إرسال طلبات HTTP إلى وجهات عشوائية، بما في ذلك الخدمات الداخلية التي يمكن الوصول إليها من المضيف.

توجد ثغرة في نظام التفويض تسمح للفاصلة المنقوطة (؛) المستخدمة كمعلمات مصفوفة في طلبات HTTP بالالتفاف على القيود الأمنية، مما قد يؤدي إلى منح وصول غير مصرح به إلى الموارد المحمية. يمكن للمستخدمين غير المصادق عليهم أو ذوي الامتيازات الأقل تجاوز سياسات المصادقة المستندة إلى مسار HTTP عن طريق إضافة فاصلة منقوطة (`;`) ونص عشوائي إلى عنوان URL للطلب. يحدث هذا بسبب عدم اتساق تطبيع المسار: حيث تقوم طبقة الأمان بإجراء فحوصات المصادقة على مسار عنوان URL الخام، بينما تقوم طبقة التوجيه RESTEasy Reactive بإزالة معلمات المصفوفة قبل مطابقة نقاط النهاية. ونتيجةً لذلك، قد يتجاوز طلب موجه إلى نقطة نهاية مثل ”/api/admin;anything“ السياسات التي تحمي ”/api/admin“ مع استمرار توجيهه إلى تلك النقطة النهائية المحمية.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Frappe السابقة للإصدار 16.14.0 و15.104.0 الوصف يتيح Frappe، وهو إطار عمل لتطبيقات الويب متكامل، الوصول غير المقيد إلى Doctype عبر استغلال ثغرة في واجهة برمجة التطبيقات (API). التوصيات التحديث إلى الإصدار 16.14.0 أو أحدث. التحديث إلى الإصدار 15.104.0 أو أحدث.

Sentry هي أداة لتتبع الأخطاء ومراقبة الأداء مصممة خصيصًا للمطورين. تحتوي الإصدارات السابقة للإصدار 26.1.0 على مشكلة «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR) عبر المؤسسات في نقطة النهاية `GroupEventJsonView`. تحدث «الإشارة المباشرة غير الآمنة إلى الكائنات» عندما يستخدم التطبيق المدخلات التي يقدمها المستخدم للوصول مباشرةً إلى الكائنات، مما قد يسمح بالوصول غير المصرح به إلى البيانات.

يحتوي Sylius، وهو إطار عمل مفتوح المصدر للتجارة الإلكترونية قائم على Symfony، على ثغرة أمنية تتعلق بـ«المرجع المباشر غير الآمن للكائنات» (IDOR) في حالة المصادقة في العديد من مكونات LiveComponents الخاصة بالمتجر. ويحدث ذلك بسبب قبول معرّفات الموارد غير المصادق عليها عبر المعلمات #[LiveArg]. وتتأثر الإجراءات التي تقبل معرّفات الموارد عبر #[LiveArg] وتقوم بتحميلها باستخدام ->find() دون التحقق من صحة الخاصية. وعلى وجه التحديد، تقبل الإجراء `addressFieldUpdated` في مكون FormComponent الخاص بالعنوان في Checkout معرّف «addressId» عبر #[LiveArg]، مما قد يؤدي إلى الكشف عن المعلومات الشخصية لمستخدم آخر، بما في ذلك الاسم الأول واسم العائلة والشركة ورقم الهاتف والشارع والمدينة والرمز البريدي والبلد. تقبل الإجراءات `refreshCart` الخاصة بـ WidgetComponent الخاص بعربة التسوق ومكون ملخص عربة التسوق معرّفًا `cartId` عبر #[LiveArg]، مما يتيح الوصول المباشر إلى بيانات الطلب، مثل إجمالي الطلب، وعدد العناصر، والإجمالي الفرعي، والخصم، وتكلفة الشحن، والضرائب، وإجمالي الطلب. نظرًا لأن جدول sylius order يحتوي على كل من عربات التسوق النشطة والطلبات المكتملة في نفس نطاق المعرفات، فإن ثغرة IDOR الخاصة بعربة التسوق قد تكشف بيانات جميع الطلبات.

Rocket.Chat هي منصة اتصال. توجد مشكلة خطيرة في خدمة الحساب داخل الخدمة المصغرة ddp-streamer تسمح للمهاجم بتسجيل الدخول كأي مستخدم له كلمة مرور محددة، باستخدام كلمة مرور عشوائية. ويرجع ذلك إلى عدم وجود الكلمة الرئيسية «await» عند التحقق من صحة كلمات المرور بشكل غير متزامن، مما يؤدي إلى تقييم كائن Promise بشكل خاطئ على أنه مصادقة ناجحة. وقد يؤدي ذلك إلى الاستيلاء على الحساب إذا كان اسم المستخدم معروفًا أو يمكن تخمينه.

Rocket.Chat هي منصة اتصال. توجد مشكلات في المصادقة في خدمة DDP Streamer للمؤسسات. لا تتطلب طريقة `Account.login`، المتوفرة عبر DDP Streamer، المصادقة الثنائية (2FA) ولا تتحقق من حالة حساب المستخدم، مما يسمح للمستخدمين المعطلين بتسجيل الدخول. عادةً ما تكون هذه التحققات مطلوبة في عملية تسجيل الدخول القياسية في Meteor.

Rocket.Chat هي منصة اتصال. توجد ثغرة أمنية تتعلق بحقن NoSQL في خدمة الحسابات داخل الخدمة المصغرة ddp-streamer. وهذا يسمح للمهاجمين غير المصادق عليهم بالتلاعب باستعلامات MongoDB أثناء عملية المصادقة. توجد المشكلة في مسار تسجيل الدخول القائم على اسم المستخدم، حيث يتم دمج المدخلات التي يقدمها المستخدم مباشرةً في محدد استعلام MongoDB دون إجراء التحقق المناسب. يمكن للمهاجم حقن تعبيرات مشغلات MongoDB، مثل `{ $regex: ’.*‘ }`، بدلاً من اسم المستخدم، مما يؤدي إلى مطابقة استعلام قاعدة البيانات لسجلات مستخدمين غير مقصودة. تؤثر هذه الثغرة الأمنية على خدمة ddp-streamer.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات NocoDB الأقدم من 0.301.3 الوصف NocoDB هو برنامج لإنشاء قواعد بيانات بتنسيق جداول البيانات. قبل الإصدار 0.301.3، كان محتوى خلايا النص المنسق الذي يتم عرضه عبر `v-html` دون تعقيم يسمح بحدوث هجمات البرمجة النصية عبر المواقع المخزنة (XSS). تحدث المشكلة لأن المحتوى يتم عرضه دون تعقيم مناسب، مما قد يسمح بتنفيذ نصوص برمجية ضارة. التوصيات قم بالتحديث إلى الإصدار 0.301.3 أو أحدث.

NocoDB هو برنامج لإنشاء قواعد بيانات على شكل جداول بيانات. في الإصدارات السابقة للإصدار 0.301.3، تسمح التعليقات التي يتم عرضها عبر `v-html` دون تعقيم بحدوث هجمات البرمجة النصية عبر المواقع (XSS) المخزنة. وهذا يسمح بحقن نصوص برمجية ضارة في التعليقات، والتي يتم تنفيذها عندما يقوم مستخدمون آخرون بعرض هذه التعليقات. تتجاوز التوجيهية `v-html` الترميز القياسي لـ HTML، مما يتيح للمهاجمين تنفيذ تعليمات برمجية JavaScript تعسفية في سياق التطبيق.

توجد ثغرة أمنية من نوع IDOR في عملية الدفع للضيوف في Spree Commerce. تتيح هذه الثغرة لمستخدم ضيف التلاعب بمعلمات معرّف العنوان وربط عناوين عشوائية للضيوف بطلبه. وهذا يتيح الوصول غير المصرح به إلى المعلومات الشخصية القابلة للتعريف (PII) الخاصة بالضيوف الآخرين، بما في ذلك الأسماء والعناوين وأرقام الهواتف. يتجاوز هذا الخلل عمليات التحقق من صحة الملكية الحالية ويؤثر على جميع معاملات الدفع الخاصة بالضيوف. تنشأ هذه الثغرة الأمنية عن التحقق غير الكامل من الصلاحية في منطق تخصيص عناوين الدفع في Spree، وتحديدًا في الطريقة التي يتم بها معالجة معلمات معرّفات العناوين البسيطة (`bill address id` و`ship address id`) دون التحقق اللازم من صحتها. تقع منطقية التعيين المعرضة للخطر في مُعيّنات `bill address id=` و`ship address id=` داخل النموذج `spree/order/address book.rb`. تتحقق هذه المُعيّنات من أن `address.user id == order.user id`، وهو ما يُقيَّم على أنه صحيح لطلبات الضيوف (nil == nil)، مما يتجاوز فعليًّا عملية التحقق الأمنية المقصودة. تسمح السمات المسموح بها في `spree/permitted attributes.rb` بـ `bill address id` و`ship address id` دون التحقق من صحتها، و...

يحتوي Spree، وهو حل تجارة إلكترونية مفتوح المصدر، على ثغرة تسمح للمستخدمين غير المصادق عليهم بالاطلاع على طلبات الضيوف المكتملة باستخدام معرّف الطلب. وقد يؤدي ذلك إلى الكشف عن المعلومات الشخصية القابلة للتعريف (PII) الخاصة بالضيوف، بما في ذلك الأسماء والعناوين وأرقام الهواتف. تعود المشكلة إلى الإجراء `OrdersController#show`، الذي يسمح بالاستعلام عن الطلب برقمه دون الحاجة إلى الرمز المميز المرتبط بالطلب. ولا تطبق الدالة `authorize access` التفويض بشكل صحيح على طلبات الضيوف. يمكن للمهاجم الذي يمتلك معرّف طلب مسربًا، أو من خلال هجوم القوة الغاشمة، الوصول إلى تفاصيل الطلب عبر نقطة نهاية واجهة برمجة التطبيقات (API) `/orders/{id}`. يتم إنشاء معرّفات الطلبات بطريقة آمنة، لكنها تتميز بانتروبيا منخفضة نسبيًا، مما قد يجعل هجمات القوة الغاشمة ممكنة.

يوجد إعادة توجيه غير مُتحقق من صحتها، وتحديدًا إعادة توجيه مفتوح، في مسار تسجيل الدخول في NocoDB بسبب عدم كفاية التحقق من صحة المعلمة `continueAfterSignIn`. أثناء المصادقة، يعالج NocoDB قيمة إعادة توجيه يتحكم فيها المستخدم وينتقل إلى عنوان URL المحدد دون أي قيود على مصدره أو نطاقه أو بروتوكوله. وهذا يسمح للمهاجمين بإعادة توجيه المستخدمين المصادق عليهم إلى مواقع خارجية عشوائية بعد تسجيل الدخول، مما قد يتيح شن هجمات التصيد الاحتيالي من خلال استغلال ثقة المستخدم في عملية تسجيل الدخول الشرعية لـ NocoDB. لا تسمح هذه الثغرة بتنفيذ تعليمات برمجية تعسفية أو رفع مستوى الامتيازات، ولكنها تعرض سلامة عملية المصادقة للخطر. يستخدم المكون المعرض للخطر تعبيرًا عاديًا `^(https?:)?///` للتحقق من صحة عناوين URL، مما يسمح بأي عنوان URL HTTP(S) وعناوين URL النسبية للبروتوكول. ثم تقوم الدالة `navigateTo()` بإجراء إعادة التوجيه بناءً على هذا التحقق. يمكن للمهاجم إنشاء عنوان URL خبيث لتسجيل الدخول يحتوي على وجهة إعادة توجيه خاضعة للسيطرة، مثل `https://victim-nocodb.example/#/signin?continueAfterSignIn=https://evil-phishing.com/fake-login`، لإعادة توجيه المستخدمين إلى موقع تصيد احتيالي بعد نجاح عملية المصادقة.

يحتوي NocoDB على ثغرة أمنية من نوع البرمجة النصية عبر المواقع (XSS) المخزنة عند معالجة المرفقات. يمكن للمستخدمين المسجلين تحميل ملفات SVG ضارة تحتوي على جافا سكريبت مضمنة. يتم عرض هذه الملفات بشكل مضمن (inline) وتنفيذها في متصفحات المستخدمين الآخرين الذين يعرضون المرفق. السبب الجذري هو عمليات التحقق من نوع MIME المفرطة في التساهل وعدم تطهير المحتوى عند تقديم ملفات SVG. وعلى وجه التحديد، تستخدم الدالة `isPreviewAllowed` في ملف `attachmentHelpers.ts` عملية تحقق تعتمد على سلسلة فرعية (substring) تصنف ملفات SVG بشكل خاطئ على أنها آمنة للعرض. وتقوم نقطة النهاية `fileReadv3` في ملف `attachments.controller.ts` بتقديم هذه الملفات دون تعقيم أو فرض نوع المحتوى، مما يسمح للمتصفحات بتنفيذ جافا سكريبت المضمن تحت مصدر تطبيق NocoDB. قد يؤدي الاستغلال الناجح إلى اختراق الحساب، وتسريب البيانات، والقيام بأعمال غير مصرح بها نيابة عن المستخدمين المتضررين.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: HomeAssistant-Tapo-Control، الإصدارات السابقة لـ commit 2a3b80f الوصف: احتوى HomeAssistant-Tapo-Control، وهو مكون يتيح التحكم في كاميرات Tapo داخل Home Assistant، على ثغرة أمنية تتعلق بحقن التعليمات البرمجية في سير عمل GitHub Actions الموجود في `.github/workflows/issues.yml`. نشأت الثغرة الأمنية عن الإدراج المباشر لمحتوى يتحكم فيه المستخدم، مستمد من نص المشكلة (`github.event.issue.body`)، في تعبير شرطي بلغة Bash دون التعقيم اللازم. وقد سمح ذلك لمستخدم ضار على GitHub بصياغة نص مشكلة قادر على تنفيذ أوامر تعسفية في مشغل GitHub Actions بامتيازات عالية أثناء إنشاء المشكلة. يقتصر التأثير على بيئة CI/CD للمستودع، وقد يؤدي ذلك إلى الكشف المحتمل عن محتوى المستودع أو الأسرار الخاصة بـ GitHub Actions. التوصيات: قم بتعطيل سير العمل المتأثر (`issues.yml`). استبدل مقارنة Bash غير الآمنة بـ grep آمن بين علامتي اقتباس أو بفحص تعبير نقي من GitHub Actions. تأكد من استخدام أذونات دنيا في سير العمل (permissions: block) لتقليل التأثير المحتمل.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات OpenKilda الأقدم من 1.164.0 الوصف: يحتوي OpenKilda، وهو وحدة تحكم OpenFlow مفتوحة المصدر، على ثغرة أمنية تتعلق بحقن كيان خارجي XML (XXE). تسمح هذه الثغرة الأمنية، بالاقتران مع GHSL-2025-024، للمهاجمين غير المصادق عليهم بسرقة المعلومات من المثيل الذي تعمل عليه واجهة مستخدم OpenKilda، مما قد يؤدي إلى تسرب المعلومات. التوصيات: قم بالتحديث إلى الإصدار 1.164.0 أو أحدث.

The login functionality of Umbrel contains a reflected cross-site scripting (XSS) vulnerability in `use-auth.tsx`. An attacker can specify a malicious `redirect` query parameter to trigger the vulnerability. If a JavaScript URL is passed to the `redirect` parameter, the attacker-provided JavaScript will be executed after the user enters their password and clicks on login.

OpenC3 COSMOS stores the password of a user unencrypted in the LocalStorage of a web browser. This makes the user password susceptible to exfiltration via Cross-site scripting. The issue may lead to Information Disclosure. This only affects Open Source edition, and not OpenC3 COSMOS Enterprise Edition.

The login functionality of OpenC3 COSMOS contains a reflected cross-site scripting (XSS) vulnerability. This issue may lead to Remote Code Execution (RCE). The vulnerability affects the Open Source Edition, not the OpenC3 COSMOS Enterprise Edition.

A path traversal vulnerability inside of `LocalMode`'s `open local file` method allows an authenticated user with adequate permissions to download any `.txt` via the `ScreensController#show` on the web server COSMOS is running on, depending on the file permissions. This issue may lead to Information Disclosure.