Pig-Tail

يقبل نقطة النهاية POST '/ nuxt content/:collection/query' غير المصادق عليها حقل `sql` يتحكم فيه المهاجم في 'src/runtime/api/query.post.ts' ويسمح بتعبيرات SQLite مكلفة. بينما تستخدم بعض الإصدارات دالة `assertSafeQuery()` في 'src/runtime/internal/security.ts' لرفض كلمات مفتاحية معينة من SQL في جمل WHERE، إلا أنها لا تزال تسمح باستدعاءات الدوال مثل `randomblob()` و `zeroblob()` و `hex()` و `length()`. تصل هذه الاستعلامات إلى better-sqlite3 السنكرو ني في 'src/runtime/internal/database.server.ts'، مما يسمح لطلب عن بعد واحد باستهلاك قدر كبير من وحدة المعالجة المركزية والذاكرة، مما يؤدي إلى حظر حلقة أحداث Node.js ومعالجة جميع الطلبات المتزامنة. لا تتأثر عمليات النشر الاستاتيكية بالكامل التي لا تعرض نقطة نهاية الخادم.

في الملف `library/classes/Controller.class.php` ، تفشل الدالة `checkControllerAcl()` في فرض الأذونات للمتحكمات المفقودة من `CONTROLLER ACL MAP`. يسمح هذا الموزع المفتوح للمستخدم المصرح له بصلاحيات منخفضة بتجاوز قوائم التحكم في الوصول (ACL) واستدعاء متحكمات إدارية. على وجه التحديد، يمكن للمهاجم استخدام `C X12Partner::edit action process()` لإنشاء أو تعديل مضيفات وبيانات اعتماد توجيه التأمين، أو استخدام `C PatientFinder::find action process()` لتعداد معرفات المرضى وأسمائهم وتواريخ ميلادهم. كما تكشف هذه المشكلة عن متحكمات إدارية أخرى كان من المفترض تقييدها عبر مسارات إعدادات الممارسة.

صفحة إدارة المواقع المتعددة الموجودة في نقطة النهاية 'admin.php' مفعلة بدون التحقق من المصادقة. يسمح هذا لجهة خارجية غير مصرح لها عبر الشبكة بقراءة تكوينات قاعدة البيانات من `sqlconf.php` والاتصال بقواعد بيانات المواقع المهيئة. وبناءً على ذلك، يمكن للمهاجم الحصول على معرفات المواقع، وأسماء قواعد البيانات، وأسماء المواقع، وإصدارات البرنامج الدقيقة ومستويات التصحيح، وحالة الترقية المعلقة، وروابط تسجيل الدخول المباشرة وبوابات المرضى.

توجد مشكلة حيث يقوم التطبيق بإنشاء مفتاح كائن باستخدام معرف المستخدم المصادق عليه و `fileName` يتحكم فيه العميل دون رفض فواصل المسار أو تجاوز الدليل الأب بشكل صحيح. في نظام R2 الخلفي، يتم وضع هذا المفتاح في URL طلب قبل توقيعه، ثم تقوم عملية تطبيع URL بدمج مكونات الدليل الأب، مما يسمح لطلب PUT الموقع مسبقاً بالهروب من نطاق اسم المستدعي. يمكن للمهاجم المصادق عليه الذي يعرف معرف المستخدم المستهدف وتجزئة الكتاب (book hash) أن يستبدل أو يسمم كائن الكتاب المخزن لمستخدم آخر ويفسد بيانات `file key` الوصفية المرتبطة به.

توجد مشكلة حيث يمنح التطبيق خططًا مدفوعة للمستخدمين المصادق عليهم دون التحقق بشكل صحيح من ملكية الجلسة. وتحديدًا، يقبل نقطة النهاية "/api/stripe/check" معرف `sessionId` يتحكم فيه العميل لاسترداد جلسة دفع Stripe، ولكنه يفشل في التحقق من `session.metadata.userId`. نتيجة لذلك، تقوم الدالة `createOrUpdateSubscription()` بتحديث خطة الاشتراك للمستخدم الذي قام بالطلب بدلاً من المالك الفعلي للجلسة. يتيح ذلك لأي مستخدم مجاني مصادق عليه إعادة استخدام معرف جلسة دفع مدفوعة صالحة لترقية حسابات متعددة دون دفع مبالغ إضافية.

يسمح نقطة النهاية '/api/opds/proxy' غير المصادق عليها لمهاجم عن بعد بتنفيذ تزوير الطلبات عبر الخادم (SSRF)، وهي تقنية يتم من خلالها خداع الخادم لإرسال طلبات إلى موقع غير مقصود. يقوم التطبيق بجلب عناوين URL التي يتحكم فيها المهاجم دون تقييد المخططات أو حظر المضيفين الخاصين، أو المضيفين المحليين (loopback)، أو المضيفين المحليين للارتباط (link-local)، أو مضيفي البيانات الوصفية، كما يفشل في إعادة التحقق من الوجهات أثناء إعادة التوجيه التلقائي. بالإضافة إلى ذلك، تقبل نقطة النهاية رؤوس الخروج وقيم `Authorization` التي يتحكم فيها المتصل، وتعكس حالة الاستجابة وجسم الاستجابة من المصدر. في عمليات النشر باستخدام Node أو Docker أو النشر الذاتي التي تمتلك وصولاً إلى الشبكة الداخلية، يمكن استخدام ذلك لاسترداد البيانات الوصفية للسحابة أو استجابات الخدمات الداخلية. وبينما تقيد عمليات نشر Cloudflare Workers الوصول إلى الوجهات المحلية للارتباط والوجهات الخاصة، فإن سلوك الجلب والعكس العام لا يزال قائماً.

في إصدارات Tauri لسطح المكتب، تفشل الأوامر `download file` و `upload file` الموجودة في الملف `apps/readest-app/src-tauri/src/transfer file.rs` في التحقق من المتغير `file path`. لا يقوم التطبيق بفحص نطاق نظام ملفات Tauri، أو رفض المسارات المطلقة، أو منع تجاوز المجلدات الأصلية. نظرًا لأن هذه الأوامر مسجلة في معالج الاستدعاء العام لنوافذ الرئيسية والمحدث والقارئ، يمكن لـ JavaScript الذي يتم تنفيذه في أصل التطبيق المميز قراءة أو كتابة الملفات في أي مسار يمكن للعملية الوصول إليه. قد يسمح هذا للمهاجم بالكتابة فوق ملفات بدء التشغيل الموثوقة أو كشف بيانات حساسة مثل المفاتيح والرموز وأسرار التطبيق. يتطلب الاستغلال تنفيذ JavaScript داخل الأصل المميز، وهو ما قد يحدث من خلال ثغرة XSS في التطبيق أو عملية رندر (renderer) مخترقة.

يفتقر مكون Livewire Variants في `packages/admin/src/Livewire/Components/Products/Form/Variants.php` إلى تفويض من جانب الخادم لـ `DeleteAction` و `DeleteBulkAction`. يمكن لمستخدم موظف مصرح له بصلاحيات `edit products` الوصول إلى endpoint `/shopper/products/{id}/edit` للحصول على حالة المكون الموقعة. لاحقاً، تسمح مسارات `callTableAction` و `callTableBulkAction` بالحذف الدائم لمتغيرات منتج واحدة أو متعددة دون التحقق من صلاحية `delete product variants`. قد يؤدي ذلك إلى تدمير كتالوج المنتجات القابلة للبيع وتعطيل صفحات المنتجات في المتجر، وعربة التسوق، وعمليات الدفع.

توجد مشكلة في تدفق تسجيل cluster حيث يتم قبول هوية cluster التي يدعيها طلب التسجيل دون ربطها برمز التسجيل (registration token) المستخدم في الطلب. يؤدي ذلك إلى إمكانية ربط طلب التسجيل بـ cluster مدار تم تسجيله في الأصل باستخدام رمز تسجيل مختلف.

يعالج Crass قوس الإغلاق بعد الشرطة المائلة الخلفية المهربة بشكل خاطئ على أنه مهرب أثناء استهلاك بقايا URL غير صالحة. يؤدي ذلك إلى إبقاء التصريحات أو قواعد النمط أو القواعد-at داخل رمز URL غير صالح، بينما تتعامل المتصفحات معها كـ CSS نشط. يمكن للمنقي الذي يحلل CSS غير موثوق باستخدام Crass ويعيد تسلسله دون رفض URL غير الصالح أن يسمح باستخدام CSS لتغيير واجهة المستخدم، أو تحميل موارد خارجية، أو تسريب البيانات عبر CSS. لا تسمح هذه المشكلة بتنفيذ النصوص البرمجية في المتصفحات الحديثة.

يسمح تجاوز تفويض للمستخدمين المصرح لهم بالوصول إلى معلومات نفق البوابة الخاصة بنطاقات أخرى. من خلال طلب نقطة النهاية `getGatewayActiveTunnelInfos` باستخدام النطاق الخاص بهم ومعرف بوابة الضحية، يمكن للمهاجمين الكشف عن المضيفات الداخلية والمنافذ وبيانات التوجيه.

يؤدي عدم كفاية تفويض النطاق (realm) أو سليل البوابة (gateway-descendant) في أحداث بوابة الحافة الواردة إلى السماح للمهاجم الذي يتحكم في بوابة مسجلة بكسر عزل المستأجرين. يقوم النظام بتعيين معرفات أصول الأحداث من خلال تحويل `GatewayConnector.mapAssetId` القابل للعكس. ومن خلال صياغة معرفات صورة مسبقة (pre-image IDs) في رسائل `AttributeEvent` أو `DELETE AssetEvent` يمكن للمهاجم الكتابة فوق سمات الأصول أو حذفها في أي نطاق.

The Git webhook receiver (the gitjob webhook service) fails to verify incoming requests when a webhook secret is not configured. This allows a remote caller with network access to the service, even without Kubernetes credentials, to modify the `spec.pollingInterval` field of a matching GitRepo resource across any namespace, enabling unauthorized configuration changes.

A cross-tenant authorization issue exists during agent-initiated cluster registration. Cluster labels provided by the registering agent, including those in the reserved `management.cattle.io/` namespace (such as the cluster display name label), are applied to the resulting upstream Cluster object. Since Fleet uses these labels to resolve GitRepo and Bundle targets, a user registering a cluster into a shared Fleet workspace namespace could manipulate labels to satisfy targeting rules intended for a different cluster.

A user with the ability to provide bundle content to a repository referenced by a GitRepo resource, such as through Git push access or permissions to create or modify a GitRepo, can force the system to read files from the filesystem of the bundle-processing environment. These files are then included in the generated Bundle resource, potentially exposing configuration data or credentials that the user is not authorized to access via Kubernetes RBAC (Role-Based Access Control), including Helm registry credentials used when per-path Helm credentials are configured.

يفشل GitPython في تضمين العلامة `--separate-git-dir` في خيار `unsafe git clone options`. وهذا يسمح للمهاجم بتوفير المعلمة `separate git dir` إلى الدالتين `Repo.clone from()` أو `Repo.clone()`، مما يؤدي إلى إعادة توجيه بيانات تعريف المستودع إلى مسار عشوائي في نظام الملفات. قد يؤدي هذا السلوك إلى إنشاء دلائل غير مصرح بها وإمكانية تنفيذ «git hooks»، وهي نصوص برمجية تُنفَّذ تلقائيًا عند حدوث أحداث معينة في مستودع git.

توجد مشكلة عند تحليل ملفات `.gitmodules` حيث يفشل البرنامج في تعطيل `merge includes`. وهذا يسمح للمهاجم بالكشف عن محتوى الملفات المحلية باستخدام توجيهات `[include]` للإشارة إلى مسارات ملفات عشوائية. عند الوصول إلى الخاصية `repo.submodules`، تثير الدالة `GitConfigParser` استثناءً من نوع `MissingSectionHeaderError` يتضمن السطر الأول من الملف المستهدف ضمن رسالة الاستثناء.

يفشل GitPython في إعادة تسلسل قيم git-config متعددة الأسطر بأمان أثناء عمليات الكتابة. وهذا يسمح للمهاجمين بإنشاء ملفات تكوين تحتوي على أحرف نهاية سطر مضمنة يمكن تحويلها إلى أوامر مُحقنة، مثل `core.hooksPath`. وعندما تحدث أي عملية كتابة غير ذات صلة بالتكوين، تتحول هذه القيم المُحاطة بعلامات اقتباس والكامنة إلى أوامر Git نشطة، مما قد يؤدي إلى تنفيذ تعليمات برمجية عشوائية من خلال استدعاء الـhook.

تقوم البرمجية الوسيطة ForwardAuth في هذا الوكيل العكسي HTTP وموازن الحمل باستخلاص رأس `X-Forwarded-Port` المرسَل إلى خدمة المصادقة بشكل غير صحيح من الطلب الوارد الأصلي بدلاً من الطلب المُعاد توجيهه بعد تنقيته، حتى عندما يكون `trustForwardHeader` مضبوطًا على `false`. وهذا يسمح لمهاجم بعيد غير مصدق عليه بحقن رأس `X-Forwarded-Proto: https` عبر اتصال HTTP عادي، مما يؤدي إلى قيام النظام بإعادة توجيه `X-Forwarded-Port: 443` إلى خدمة المصادقة وتجاوز عمليات التحقق من التفويض المستندة إلى المنفذ.

تقوم نقاط النهاية الداخلية للمطورين ’/webpack-dev-server/open-editor‘ و ’/webpack-dev-server/invalidate‘ بتنفيذ إجراءات تغير الحالة استجابةً لطلبات GET دون التحقق من مصدر الطلب. وهذا يسمح لأي موقع ويب يزوره المطور بتشغيل نقاط النهاية هذه عبر الأصول. يمكن للمهاجم فتح ملفات محلية عشوائية في محرر المطور، بما في ذلك تلك الموجودة خارج جذر المشروع. بالإضافة إلى ذلك، يمكن أن تؤدي الطلبات المتكررة إلى إنشاء عمليات محرر متعددة وإجبار النظام على إعادة التجميع، مما يؤدي إلى تدهور أداء النظام.