Pucagit

يحدث إنشاء مسار URL غير آمن بسبب قيم المعرفات غير المُعقمة التي يوفرها المتصل والمستخدمة في مسارات طلبات HTTP لعمليات الموارد. يمكن أن تتسبب المعرفات التي تحتوي على أحرف ذات معنى خاص في مسارات URL في توجيه الطلبات إلى موارد أو أنواع موارد مختلفة عن المقصود. في البيئات التي تنشأ فيها قيم المعرفات من مصادر غير موثوق بها، قد يؤدي ذلك إلى الوصول غير المصرح به إلى الموارد أو تعديلها أو حذفها. ويعد هذا الأمر بالغ الأهمية بشكل خاص في عمليات النشر التي تقوم بتوجيه قيم المستخدم النهائي مباشرةً إلى معلمات معرّفات SDK دون التحقق من صحتها (مثل فحوصات UUID) وتعتمد على التفويض القائم على بادئة URL في طبقة أعلى، مثل الوكيل العكسي أو بوابة الحافة أو جدار حماية تطبيقات الويب (WAF)، حيث يعتمد التفويض على المسار المقصود بدلاً من مسار الطلب النهائي الذي تم تسليمه.

يحتوي Frappe، وهو إطار عمل لتطبيقات الويب متكامل الميزات، على ثغرة تتعلق بـ«اجتياز المسار» (path traversal) قد تسمح بقراءة ملفات عشوائية دون مصادقة على الأسطح المعرضة للإنترنت، مثل ERPNext. تم تحديد أكثر من 115,700 جهاز قد يكون متأثرًا بهذه الثغرة في جميع أنحاء العالم. تجاوز المسار (Path traversal) هو تقنية يستخدم فيها المهاجم أحرفًا خاصة للوصول إلى الملفات والدلائل خارج المجلد المقصود.

يحتوي LangChain على مسارات برمجية في وقت التشغيل تعمل على فك تسلسل المدخلات أو المخرجات أو الحمولات الأخرى التي يتحكم فيها التطبيق، وذلك باستخدام قوائم السماح الخاصة بالكائنات التي تتسم بمدى واسع للغاية، وبالتحديد من خلال استدعاء الدالة `load()` مع المعلمة `allowed objects=”all“`. وهذا يسمح لقواميس المنشئ المسلسلة التي يوفرها المهاجم بإنشاء مثيلات لفئات موثوقة باستخدام معلمات غير موثوق بها. يمكن أن تؤدي هذه المشكلة إلى تزوير الطلبات من جانب الخادم (SSRF)، مما يتيح الوصول إلى الخدمات الداخلية أو نقاط نهاية البيانات الوصفية السحابية أو موارد الشبكة الحساسة، مما قد يؤدي إلى سرقة بيانات الاعتماد واختراق مستمر لسلسلة التوريد. تكون التطبيقات معرضة للخطر إذا قبلت مدخلات منظمة غير موثوق بها (مثل JSON) دون التحقق من صحتها، أو احتفظت بقواميس أو قوائم متداخلة يتحكم فيها المهاجم في بيانات التشغيل، واستخدمت مسارات واجهة برمجة التطبيقات (API) المتأثرة. تشمل الأسطح المعروفة المتأثرة فئة `RunnableWithMessageHistory`، ودالة `astream log()`، ودالة `astream events(version=”v1“)`. بالإضافة إلى ذلك، يسمح تجاوز التحقق من صحة علامات الأسرار في الدالة ` is lc secret` لقواميس المنشئ بتجنب الهروب أثناء عمليات الذهاب والإياب بين `dumps()` و`loads()`.