Raphael Vinot

A path traversal issue exists in the archive extraction worker. This occurs when the system processes a specially crafted archive or disk image and fails to ensure that the destination paths remain within the intended extraction directory. An attacker can submit a malicious file using path traversal sequences to write content outside the designated directory, which may lead to the unauthorized modification of system or application files, denial of service, or further system compromise depending on process permissions.

An issue exists in the favicon retrieval functionality where the application fails to validate redirects when `only global lookup` is enabled. While the initial favicon URL is checked to prevent requests to localhost, loopback, or non-public network addresses, subsequent redirects handled by aiohttp bypass this validation. An attacker can provide a public URL that redirects to a restricted internal address, such as `127.0.0.1` or `localhost`, causing the host to issue unauthorized HTTP requests. This can be used to probe internal HTTP services or extract information from inaccessible endpoints.

توجد مشكلة في البرمجة النصية عبر المواقع المخزنة في وظيفة تنزيل ملفات PDF. تستخدم نقطة النهاية ’/task-download/<task id>/.../pdf‘ الكشف القائم على المحتوى للتحقق من الملفات كملفات PDF، لكنها تفشل في تحديد نوع MIME بشكل صريح أو فرض تنزيل الملف كمرفق عند استخدام الدالة `send file()`. يمكن للمهاجم تحميل ملف متعدد اللغات — وهو ملف صالح بتنسيقتين مختلفتين — يتعرف عليه Pandora كملف PDF، لكن اسم الملف يدفع الخادم إلى إرجاع نوع MIME نشط مختلف. وهذا يسمح للمتصفح بتفسير الملف على أنه HTML أو تنسيق ويب قابل للتنفيذ آخر، مما يؤدي إلى تنفيذ نصوص برمجية يتحكم فيها المهاجم ضمن سياق أمان التطبيق، مما قد يعرض بيانات جلسة عمل الضحية للخطر.

تحدث ثغرة البرمجة النصية عبر المواقع (XSS) المخزنة أثناء عرض عناصر URL القابلة للمراقبة. يتم إدراج عنوان URL مرتبط بملف تم تحليله مباشرةً في معالج onclick المضمن في JavaScript الخاص بعملية ”Submit to Lookyloo“. ونظرًا لأن القيمة مضمنة في سلسلة JavaScript داخل سمة HTML، يمكن للمهاجم استخدام أحرف مصممة خصيصًا لكسر السلسلة وحقن كود JavaScript تعسفي. يتم تنفيذ هذا البرنامج النصي في سياق تطبيق الويب عندما يتفاعل المستخدم مع عنصر التحكم «إرسال إلى Lookyloo»، مما قد يسمح للمهاجم بالوصول إلى معلومات المتصفح أو تنفيذ إجراءات باستخدام جلسة عمل الضحية المصادق عليها.

يحتوي برنامج Pandora على ثغرة من نوع «رفض الخدمة» (DoS) في طريقة تعامله مع ملفات DAA (أرشيف الوصول المباشر). أثناء استخراج صورة ISO داخلية من أرشيف DAA، يستخدم النظام الدالة `zlib.decompress()` لمعالجة الأجزاء المضغوطة دون فرض حد على البيانات غير المضغوطة الناتجة. يمكن للمهاجم إرسال ملف DAA مُعد خصيصًا يحتوي على بيانات مضغوطة للغاية، مما يتسبب في قيام النظام بتوسيع مدخلات صغيرة إلى كمية كبيرة جدًا من البيانات في الذاكرة. قد تؤدي هذه العملية إلى استهلاك مفرط للذاكرة واستنفاد موارد وحدة المعالجة المركزية (CPU)، مما قد يتسبب في توقف عملية الاستخراج عن الاستجابة أو إنهاءها، مما يؤثر على توفر الخدمة بشكل عام. يُعرف هذا النوع من الهجمات باسم «قنبلة فك الضغط» (decompression bomb)، حيث يتم تصميم ملف صغير لاستهلاك كميات هائلة من موارد النظام عند فك ضغطه.

يحتوي برنامج Pandora على ثغرة تتعلق باجتياز المسار في وظيفة استخراج أرشيفات TAR. يقوم أداة الاستخراج بتمرير أسماء مكونات الأرشيف مباشرةً إلى الدالة `tarfile.TarFile.extract()` دون تطبيق مرشح استخراج. يمكن للمهاجم إرسال أرشيف TAR مصمم خصيصًا يحتوي على مسارات مكونات ضارة، مثل المسارات المطلقة أو التسلسلات التي تستخدم `../`، لكتابة ملفات خارج دليل الاستخراج المقصود. قد يؤدي ذلك إلى الكتابة فوق الملفات التي يمكن لعملية Pandora الوصول إليها، مما قد يؤدي إلى تنفيذ تعليمات برمجية عشوائية، أو اختراق التطبيق، أو رفض الخدمة.

تحدث مشكلة تزوير الطلبات من جانب الخادم (SSRF) عند تمكين الخيار `only global lookup`. ورغم أن الغرض من هذا الخيار هو حظر الوصول إلى موارد الشبكة المحلية أو موارد الارتداد أو الموارد غير العامة، فإن عملية استرداد أيقونة الموقع (favicon) تتجاوز هذه الإجراءات الوقائية. يتم استرداد عناوين URL الخاصة برموز المفضلة (favicon) المستخرجة من HTML مباشرةً باستخدام `aiohttp.ClientSession` دون إجراء التحقق المناسب. يمكن للمهاجم الذي يتحكم في صفحة ويب قيد المعالجة استخدام مرجع مصمم خصيصًا لرمز المفضلة لإجبار المضيف على إرسال طلبات HTTP إلى خدمات الشبكة الداخلية أو عناوين IP الخاصة أو عناوين loopback. وقد يؤدي ذلك إلى اكتشاف الخدمات الداخلية أو التفاعل غير المصرح به مع نقاط نهاية HTTP الداخلية.

يفشل Lookyloo في فرض قيود على الحجم بعد فك الضغط لأرشيفات التسجيلات التي تم تحميلها وملفات HAR المضغوطة. يمكن للمهاجم إرسال ملف تسجيل مضغوط بتنسيق ZIP أو gzip أو zlib تم تصميمه خصيصًا، ويحتوي على بيانات تتوسع إلى حجم مفرط أثناء المعالجة. ونظرًا لأن التطبيق يقوم بفك ضغط هذا المحتوى مباشرةً في الذاكرة دون تقييد حجم المخرجات، فقد يؤدي ذلك إلى استنفاد الذاكرة، أو إنهاء عمليات الويب أو عمليات العمال، أو عدم توفر المثيل بالكامل. تؤثر هذه المشكلة على عمليات استيراد أرشيفات التسجيل الكاملة وعمليات الإرسال عبر واجهة برمجة التطبيقات (API) التي تحتوي على بيانات HAR مضغوطة بتنسيق gzip. قد يؤدي الاستغلال المتكرر إلى حالة مستمرة لرفض الخدمة، وهي حالة تصبح فيها الخدمة غير متاحة للمستخدمين المستهدفين، حتى يتم إعادة تشغيل العمليات أو المثيل المتأثر.

توجد ثغرة في البرمجة النصية عبر المواقع (XSS) المخزنة في صفحة عرض شجرة الالتقاط. يقوم التطبيق بتضمين بيانات شجرة الالتقاط المتسلسلة مباشرةً في كتلة JavaScript مضمنة باستخدام مرشح Jinja الآمن. ونظرًا لأن هذه البيانات قد تتضمن محتوى ويب يتحكم فيه المهاجم، فإن قيمة مصممة خصيصًا يمكنها إنهاء عنصر `<script>` وحقن HTML أو JavaScript تعسفي. وهذا يسمح بتنفيذ تعليمات برمجية ضارة في متصفح المستخدم الذي يشاهد شجرة الالتقاط، مما قد يمكّن المهاجم من تنفيذ إجراءات عبر جلسة عمل الضحية المصادق عليها، أو الوصول إلى معلومات حساسة، أو تعديل بيانات التطبيق.

قام PlaywrightCapture بتخزين بيانات التكوين وبيانات وقت التشغيل كمتغيرات قابلة للتعديل على مستوى الفئة بدلاً من متغيرات على مستوى المثيل. وهذا يسمح لعدة كائنات Capture داخل نفس عملية Python بمشاركة الحالة، بما في ذلك رؤوس HTTP وملفات تعريف الارتباط وتخزين المتصفح وبيانات اعتماد HTTP وتكوين الوكيل وإعدادات وكيل المستخدم ومعلومات تحديد الموقع الجغرافي وبيانات الطلبات الملتقطة. في عمليات النشر المتزامنة أو متعددة المستخدمين، يمكن أن تستمر البيانات من عملية التقاط واحدة وتُعاد استخدامها من قبل الآخرين، مما قد يؤدي إلى الكشف عن ملفات تعريف الارتباط الخاصة بالمصادقة أو بيانات الاعتماد أو تخزين المتصفح. وقد يسمح هذا أيضًا بتنفيذ الطلبات باستخدام سياق المصادقة أو تكوين الوكيل الخاص بعملية التقاط أخرى، مما يتيح الوصول غير المصرح به إلى الموارد البعيدة.