Pavanchow

توجد مشكلة في استهلاك الموارد غير المنضبط تسمح للمهاجمين غير المصرح لهم باستنفاد موارد الخادم. من خلال امتلاك UUID لعرض مشترك، يمكن للمهاجم إرسال جسم كبير من كائنات التصفية الدنيا عبر طلب POST إلى نقاط نهاية الدفعات للعروض المشتركة. يؤدي هذا الإجراء إلى تشغيل استعلام قاعدة بيانات كامل لكل إدخال، مما قد يتسبب في تعطل عملية NocoDB.

يسمح ثغرة أمنية لمهاجم عن بُعد بكتابة ملفات اختصارات نظام التشغيل التعسفية، مثل `.desktop` و`.url` و`.webloc`، إلى نظام ملفات المستخدم. يحدث هذا لأن قائمة الامتدادات المسموح بها المستخدمة لمنع التنزيلات غير الآمنة تضمنت صراحةً امتدادات الاختصارات هذه للحفاظ على وظيفة الخيار `--write-link`. يمكن للمهاجمين استغلال هذا الثغرة عن طريق إنشاء ملف m3u8 ضار يحتوي على علامة `EXT-X-MEDIA:TYPE=SUBTITLES` مع عنوان URI ضار. إذا استخدم المستخدم الخيار `--write-subs`، فقد يقوم البرنامج بكتابة محتوى يتحكم فيه المهاجم إلى ملف بامتداد اختصار. يمكن أن تحتوي هذه الملفات على أوامر شل أو تشير إلى ملفات قابلة للتنفيذ عن بُعد، مما يتيح شن هجمات التصيد الاحتيالي أو تنفيذ تعليمات برمجية تعسفية إذا تم خداع المستخدم لفتحها.