Q-Free

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: Q-Free MaxTime الإصدارات 2.11.0 وما قبلها الوصف: تتعلق المشكلة بغياب عملية المصادقة على وظيفة حاسمة في ملف maxprofile/accounts/routes.lua. وهذا يسمح لمهاجم عن بُعد غير مصدق عليه بإعادة تعيين أرقام التعريف الشخصية (PIN) للمستخدمين عبر طلبات HTTP مُصممة خصيصًا. التوصيات: بالنسبة لإصدارات Q-Free MaxTime 2.11.0 والإصدارات الأقدم، قم بالتحديث إلى إصدار أحدث من 2.11.0 لحل المشكلة. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى ملف maxprofile/accounts/routes.lua لمنع إعادة تعيين أرقام التعريف الشخصية (PIN) دون إذن.

تسمح ثغرة CWE-346 ”خطأ في التحقق من مصدر“ في إعدادات CORS لمهاجم بعيد غير معتمد بالتحايل على سرية الجهاز أو سلامته أو توفره من خلال عناوين URL أو طلبات HTTP مصممة خصيصًا لهذا الغرض.

تسمح ”تباينات ملحوظة في الاستجابة“ في صفحة تسجيل الدخول لمهاجم بعيد غير معتمد بتحديد أسماء المستخدمين الصالحة من خلال طلبات HTTP مُعدلة. ترتبط هذه المشكلة بوظيفة تسجيل الدخول، حيث قد تكشف الاختلافات في الاستجابة ما إذا كان اسم المستخدم صالحًا أم لا.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: الإصدارات 2.11.0 وما قبلها من برنامج Q-Free MaxTime الوصف: تتعلق المشكلة بعدم التحقق الكافي من صحة المدخلات، مما يسمح لمهاجم بعيد معتمد بتعديل إعدادات النظام من خلال طلبات HTTP مزورة. ويمكن تحقيق ذلك عن طريق إرسال طلبات مزورة إلى النظام. التوصيات: بالنسبة للإصدارات 2.11.0 والإصدارات الأقدم من Q-Free MaxTime، قم بالتحديث إلى إصدار أعلى من 2.11.0 لحل المشكلة. كإجراء مؤقت للتغلب على المشكلة، ضع في اعتبارك تقييد الوصول إلى الوحدة النمطية ldbMT.so لتقليل مخاطر الاستغلال. تجنب إرسال طلبات HTTP مزورة إلى النظام المتأثر حتى يتم حل المشكلة.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: Q-Free MaxTime الإصدارات 2.11.0 والإصدارات الأقدم الوصف: ترتبط الثغرة بعدم وجود مصادقة لوظيفة حاسمة، مما يسمح لمهاجم عن بُعد غير مصدق بإعادة تعيين كلمات مرور مستخدمين عشوائيين من خلال طلبات HTTP مُتلاعب بها. ويرجع ذلك إلى مشكلة في الملف maxprofile/accounts/routes.lua. التوصيات: بالنسبة للإصدارات 2.11.0 والإصدارات الأقدم من Q-Free MaxTime، قم بالتحديث إلى إصدار أحدث من 2.11.0 لحل المشكلة. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى الملف maxprofile/accounts/routes.lua حتى يتوفر تصحيح.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: Q-Free MaxTime الإصدارات 2.11.0 وما قبلها الوصف: تتعلق المشكلة بغياب المصادقة على وظيفة حاسمة في الملف maxprofile/accounts/routes.lua. وهذا يسمح لمهاجم بعيد غير مصدق عليه بإنشاء مستخدمين عشوائيين، بما في ذلك المسؤولين، من خلال طلبات HTTP تم التلاعب بها. التوصيات: بالنسبة للإصدارات 2.11.0 والإصدارات الأقدم من Q-Free MaxTime، قم بالتحديث إلى إصدار أحدث من 2.11.0 لحل المشكلة. كحل بديل مؤقت، ضع في اعتبارك تقييد الوصول إلى الملف maxprofile/accounts/routes.lua لتقليل مخاطر الاستغلال.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Q-Free MaxTime التي تقل عن أو تساوي 2.11.0 الوصف: تسمح مشكلة ضعف المصادقة في آلية مصادقة رقم التعريف الشخصي (PIN) لمهاجم عن بُعد غير مصدق عليه باختراق أرقام التعريف الشخصية للمستخدمين عن طريق القوة الغاشمة باستخدام طلبات HTTP متعددة مصممة خصيصًا. تؤثر هذه المشكلة على برنامج Q-Free MaxTime، مما يتيح للمهاجمين إمكانية الحصول على وصول غير مصرح به. التوصيات: بالنسبة لإصدارات Q-Free MaxTime التي تقل عن أو تساوي 2.11.0، قم بالتحديث إلى إصدار أعلى من 2.11.0 لحل المشكلة. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى آلية المصادقة برقم التعريف الشخصي (PIN) لتقليل مخاطر الاستغلال إلى أدنى حد.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Q-Free MaxTime الأقدم من 2.11.0 الوصف: تسمح مشكلة تتعلق بنقص المصادقة في وظيفة حاسمة في maxtime/handleRoute.lua لمهاجم بعيد غير مصدق عليه بالتأثير على سرية الجهاز أو سلامته أو توفره من خلال طلبات HTTP مُتلاعب بها. التوصيات: بالنسبة للإصدارات الأقدم من 2.11.0، قم بالتحديث إلى الإصدار 2.11.0 أو أحدث لحل المشكلة. كإجراء مؤقت، ضع في اعتبارك تقييد الوصول إلى الوظيفة `handleRoute.lua` حتى يتوفر تصحيح. تجنب استخدام الوظيفة المعرضة للثغرة لتقليل مخاطر الاستغلال.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Q-Free MaxTime التي تقل عن أو تساوي 2.11.0 الوصف: تتعلق المشكلة باستخدام مفتاح تشفير ثابت في الكود أثناء عملية توقيع JWT. وهذا يسمح لمهاجم بعيد غير مصدق عليه بالتحايل على عملية المصادقة عن طريق إرسال طلبات HTTP مزورة. التوصيات: بالنسبة لإصدارات Q-Free MaxTime التي تقل عن أو تساوي 2.11.0، قم بالتحديث إلى إصدار أعلى من 2.11.0 لحل المشكلة. كحل بديل مؤقت، ضع في اعتبارك تقييد الوصول إلى عملية توقيع JWT حتى يتوفر تصحيح.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Q-Free MaxTime الأقدم من 2.11.0 الوصف: تتعلق المشكلة بعدم معالجة العناصر الخاصة المستخدمة في أمر SQL بشكل صحيح، وهو ما يُعرف أيضًا باسم «حقن SQL». ويحدث ذلك في الملف maxprofile/menu/model.lua، وتحديدًا في نقطة النهاية editUserGroupMenu. يمكن لمهاجم بعيد معتمد استغلال هذه الثغرة لتنفيذ أوامر SQL تعسفية من خلال طلبات HTTP مصممة خصيصًا. التوصيات: بالنسبة للإصدارات الأقدم من 2.11.0، قم بالتحديث إلى الإصدار 2.11.0 أو أحدث لحل المشكلة. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى نقطة النهاية editUserGroupMenu حتى يتوفر تصحيح. تجنب استخدام الملف المعرض للثغرة maxprofile/menu/model.lua، وتحديدًا نقطة النهاية editUserGroupMenu، حتى يتم حل المشكلة.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: الإصدارات 2.11.0 وما قبلها من Q-Free MaxTime الوصف: يسمح غياب المصادقة على وظيفة حرجة في ملف maxprofile/menu/routes.lua لمهاجم عن بُعد غير مصدق عليه بتعديل أذونات المستخدم من خلال طلبات HTTP مُتلاعب بها. التوصيات: بالنسبة للإصدارات 2.11.0 والإصدارات الأقدم من Q-Free MaxTime، قم بالتحديث إلى إصدار يتضمن المصادقة اللازمة للوظائف الحرجة، وذلك لمنع الوصول غير المصرح به. كإجراء مؤقت للتحايل على الثغرة، ضع في اعتبارك تقييد الوصول إلى الوحدة النمطية maxprofile/menu/routes.lua لتقليل مخاطر الاستغلال إلى أدنى حد.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Q-Free MaxTime الأقدم من 2.11.0 الوصف: تتعلق المشكلة بعدم التعطيل الكافي للعناصر الخاصة المستخدمة في أمر SQL، والمعروف أيضًا باسم «حقن SQL». ويحدث ذلك في الملف maxprofile/menu/model.lua، وتحديدًا في نقطة النهاية editUserMenu. يمكن لمهاجم بعيد معتمد استغلال هذه الثغرة لتنفيذ أوامر SQL تعسفية من خلال طلبات HTTP تم التلاعب بها. التوصيات: بالنسبة للإصدارات الأقدم من 2.11.0، قم بالتحديث إلى الإصدار 2.11.0 أو أحدث لحل المشكلة. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى نقطة النهاية editUserMenu في ملف maxprofile/menu/model.lua لتقليل مخاطر الاستغلال إلى أدنى حد.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Q-Free MaxTime التي تقل عن أو تساوي 2.11.0 الوصف: تسمح ثغرة أمنية تتعلق بـ ”تجاوز المسار النسبي“ في آلية تحميل الملفات لمهاجم بعيد معتمد بالكتابة فوق ملفات عشوائية من خلال طلبات HTTP مصممة خصيصًا. تؤثر هذه المشكلة على برنامج Q-Free MaxTime، مما يسمح للمهاجمين بالتلاعب بالنظام عن طريق إرسال طلبات مصممة خصيصًا. التوصيات: بالنسبة لإصدارات Q-Free MaxTime الأقل من أو تساوي 2.11.0، يُنصح بتقييد الوصول إلى آلية تحميل الملفات حتى يتوفر تصحيح. كحل بديل مؤقت، قم بتحديد إمكانية تحميل الملفات فقط للمستخدمين الذين يحتاجون إليها بشكل ضروري لتقليل مخاطر الاستغلال. في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.

اسم البرنامج المعرض للثغرة والإصدارات المتأثرة: إصدارات Q-Free MaxTime التي لا تتجاوز 2.11.0 الوصف: تسمح هذه الثغرة لمهاجم بعيد معتمد بتحميل ملفات ضارة عبر طلبات HTTP تم التلاعب بها، وذلك بسبب السماح غير المقيد بتحميل ملفات ذات أنواع خطيرة ضمن عمليات تحميل ملفات القوالب. التوصيات: بالنسبة لإصدارات Q-Free MaxTime التي لا تتجاوز 2.11.0، قم بالتحديث إلى إصدار أعلى من 2.11.0 لإصلاح الثغرة. كحل بديل مؤقت، ضع في اعتبارك تقييد الوصول إلى عمليات تحميل ملفات القوالب لتقليل مخاطر الاستغلال.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Q-Free MaxTime الأقدم من 2.11.0 الوصف: ثغرة أمنية من نوع «عبور المسار» (Path Traversal) في آلية تنزيل القوالب تسمح لمهاجم بعيد معتمد بقراءة الملفات الحساسة من خلال طلبات HTTP مُتلاعب بها. تتيح هذه المشكلة للمهاجم الوصول إلى الملفات السرية من خلال طلبات HTTP مُتلاعب بها. التوصيات: بالنسبة للإصدارات الأقدم من 2.11.0، قم بالتحديث إلى الإصدار 2.11.0 أو أحدث لحل المشكلة. كحل مؤقت (workaround)، ضع في اعتبارك تقييد الوصول إلى آلية تنزيل القوالب لتقليل مخاطر الاستغلال. تجنب استخدام ميزة تنزيل القوالب المعرضة للثغرة حتى يتم حل المشكلة.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Q-Free MaxTime الأقدم من 2.11.0 الوصف: ثغرة أمنية من نوع «عبور المسار» (Path Traversal) في آلية حذف القوالب تسمح لمهاجم بعيد معتمد بحذف الملفات الحساسة عبر طلبات HTTP تم التلاعب بها. التوصيات: بالنسبة للإصدارات الأقدم من 2.11.0، قم بالتحديث إلى الإصدار 2.11.0 أو أحدث لحل المشكلة. كإجراء مؤقت، ضع في اعتبارك تقييد الوصول إلى آلية حذف القوالب لتقليل مخاطر الاستغلال إلى أدنى حد.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Q-Free MaxTime الأقدم من 2.11.0 الوصف: ثغرة أمنية من نوع «Path Traversal» في maxtime/api/sql/sql.lua تسمح لمهاجم بعيد معتمد بقراءة الملفات الحساسة من خلال طلبات HTTP مصممة خصيصًا. التوصيات: بالنسبة للإصدارات الأقدم من 2.11.0، قم بالتحديث إلى إصدار أعلى من 2.11.0 لحل المشكلة. كإجراء مؤقت، ضع في اعتبارك تقييد الوصول إلى الوحدة النمطية maxtime/api/sql/sql.lua لتقليل مخاطر الاستغلال إلى أدنى حد.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: Q-Free MaxTime الإصدارات 2.11.0 وما قبلها الوصف: تتعلق المشكلة بغياب عملية المصادقة على وظيفة حاسمة، مما يسمح لمهاجم عن بُعد غير مصدق عليه بتمكين «وضع الضيف» بدون كلمة مرور عبر طلبات HTTP مُصممة خصيصًا. ويرجع ذلك إلى غياب فحص المصادقة في ملف maxprofile/guest-mode/routes.lua. التوصيات: بالنسبة لإصدارات Q-Free MaxTime 2.11.0 والإصدارات الأقدم، قم بالتحديث إلى إصدار أحدث من 2.11.0 لحل المشكلة. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى ملف maxprofile/guest-mode/routes.lua لمنع الاستغلال.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: Q-Free MaxTime الإصدارات 2.11.0 وما قبلها الوصف: تتعلق المشكلة بغياب المصادقة على وظيفة حاسمة في الملف maxprofile/menu/routes.lua. وهذا يسمح لمهاجم بعيد غير مصدق عليه بتعديل أذونات مجموعات المستخدمين من خلال طلبات HTTP تم التلاعب بها. التوصيات: بالنسبة للإصدارات 2.11.0 والإصدارات الأقدم، قم بالتحديث إلى إصدار أعلى من 2.11.0 لحل المشكلة. كحل بديل مؤقت، ضع في اعتبارك تقييد الوصول إلى الملف maxprofile/menu/routes.lua لمنع التعديلات غير المصرح بها على أذونات مجموعات المستخدمين.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: Q-Free MaxTime الإصدارات 2.11.0 وما قبلها الوصف: ترتبط الثغرة بعدم وجود مصادقة لوظيفة حاسمة في الملف maxprofile/persistance/routes.lua. وهذا يسمح لمهاجم بعيد غير مصدق عليه بحذف لوحات التحكم (dashboards) من خلال طلبات HTTP تم التلاعب بها. التوصيات: بالنسبة للإصدارات 2.11.0 والإصدارات الأقدم، قم بالتحديث إلى إصدار أعلى من 2.11.0 لحل المشكلة. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى الملف maxprofile/persistance/routes.lua لمنع الحذف غير المصرح به للوحات المعلومات.