Riodrwn

**Name of the Vulnerable Software and Affected Versions** Penpot versions prior to 2.18.0 **Description** An issue exists where the `assemble-chunks` endpoint retrieves an upload session using only its session ID, failing to scope the lookup to the authenticated profile as the `upload-chunk` endpoint does. An authenticated user who obtains another user's live, completed upload-session UUID can assemble the victim's chunks into their own file, team font, or project import. This leads to the disclosure of the uploaded bytes and the deletion of the victim's pending session. **Recommendations** Update to version 2.18.0.

**Name of the Vulnerable Software and Affected Versions** Concrete CMS versions 9.2.0 through 9.5.2 **Description** Insufficient authorization on REST API user write endpoints allows a user with an update-scoped OAuth token to modify sensitive account details of other non-superuser accounts. By exploiting the lack of per-field `edit user properties` permission enforcement, an attacker with permission to edit only one non-sensitive field can change the password, username, email, and attributes of another user, leading to full account takeover. The affected endpoints are 'PUT /ccm/api/1.0/users/{uID}' and 'POST /ccm/api/1.0/users/{uID}/change password'. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Concrete CMS versions prior to 9.5.3 **Description** Cross-Site Request Forgery (CSRF) exists in the dashboard SEO Excluded Words page. The `reset()` controller action clears the administrator-configured reserved-word list `concrete.seo.exclude words` without validating the anti-CSRF token or restricting requests to the POST method. A remote attacker could lure an authenticated user with SEO access to a crafted page to revert the reserved-word list to its default. This action silently alters future URL-slug generation for pages, files, topics, and other objects created through the Text urlify service, effectively undoing the site's configured SEO slug policy. **Recommendations** Update to version 9.5.3.

**Name of the Vulnerable Software and Affected Versions** Concrete CMS versions prior to 9.5.3 **Description** The conversation attachment uploaded endpoint imports files into the file manager before evaluating the `Add Message Attachments` permission. Because this permission is only checked after the file has been stored, a user without the required permission or an unauthenticated visitor in a guest-posting configuration can import approved file types into the file manager. **Recommendations** Update to version 9.5.3 or later.

**Name of the Vulnerable Software and Affected Versions** Concrete CMS versions 9.0.0 through 9.0.0 **Description** The dashboard group type controller fails to validate a CSRF (Cross-Site Request Forgery) token during its delete action. This allows a remote unauthenticated attacker to trick an authenticated user who possesses group type management permissions into deleting a custom group type. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Concrete CMS versions 9.2.0 through 9.5.2 **Description** The Area API's 'block-create' endpoint fails to invoke the `validate()` method of the block type controller for submitted data. For blocks that reference files, such as `hero image` and `gallery`, this method is responsible for authorizing the referenced file against the user's file-manager visibility. Consequently, an authenticated user with the `block-add` scope can store and render a reference to a file that should be rejected by the file-manager authorization policy. This leads to the disclosure of the file's URL and preview to the editor and page visitors. In public file storage configurations, the URL and thumbnail are exposed directly, while in private storage, disclosure is limited by the permission-checked download URL. **Recommendations** Update Concrete CMS to a version later than 9.5.2. As a temporary mitigation, restrict the `block-add` scope for users who should not have permission to reference sensitive files via the 'block-create' endpoint.

**Name of the Vulnerable Software and Affected Versions** Concrete CMS versions 9.2.0 through 9.5.2 **Description** The Express REST API list endpoint fails to perform per-entry view permission checks. An attacker using an OAuth token with read scope for an Express entity can enumerate entries that the user context is not authorized to view. This leads to the disclosure of the public identifier, URL, label, dates, and any attribute or associated-entry data requested through the `includes` parameter. **Recommendations** Update Concrete CMS to a version later than 9.5.2. Restrict the use of the `includes` parameter in the Express REST API list endpoint to minimize data exposure until the update is applied.

**Name of the Vulnerable Software and Affected Versions** Concrete CMS versions prior to 9.5.3 **Description** The RSS Displayer block fails to perform HTML escaping on remote feed item titles, leading to stored cross-site scripting (XSS). An attacker who can control a title within a syndicated feed can execute arbitrary scripts in the site origin for any visitor to the affected page, including administrators, without requiring an account on the site. **Recommendations** Update to version 9.5.3 or later.

**Name of the Vulnerable Software and Affected Versions** Concrete CMS versions 9.0.0 through 9.5.2 **Description** Stored Cross-Site Scripting (XSS) exists in the Board Custom Slot dialog. The 'custom slot save template' endpoint validates requests only against the target board instance using the `canEditBoardContents()` function and persists the `selectedTemplateOption[collection]` variable verbatim. Because the server does not verify that each item belongs to the authorized board's data pool, a user with board editing permissions can store a forged summary object containing a JavaScript payload in the description field. The default summary template renders this field without output encoding, allowing the payload to execute in the browsers of users viewing the board slot, including anonymous visitors and dashboard users. This may lead to session takeover, action takeover, or privilege escalation to an administrator. **Recommendations** Update Concrete CMS versions 9.0.0 through 9.5.2 to a version newer than 9.5.2.

**Name of the Vulnerable Software and Affected Versions** Concrete CMS versions prior to 9.5.3 **Description** Cross-Site Request Forgery (CSRF) exists in the Move Multiple Groups feature. The endpoint 'dashboard/users/groups/bulkupdate/confirm()' allows moving selected group tree nodes without validating an action token. This allows a state-changing group move to be processed for an authenticated user who did not initiate the request. Since relocating a group under a new parent causes members to inherit the parent's permissions, a forged move can alter effective authorization. **Recommendations** Update to version 9.5.3.

**Name of the Vulnerable Software and Affected Versions** Concrete CMS versions prior to 9.5.3 **Description** An authorization bypass known as Insecure Direct Object Reference (IDOR) exists because the frontend calendar lightbox endpoint '/ccm/calendar/view event/{bID}/{occurrence id}' fails to verify if the requester has permission to view the calendar associated with the requested event. The controller retrieves the event occurrence using a sequential identifier provided by the user without confirming its ownership relative to the referenced block. Consequently, an unauthenticated visitor can provide an arbitrary `occurrence id` to disclose event metadata, including titles, dates, descriptions, page links, and configured event attributes from restricted calendars. **Recommendations** Update to version 9.5.3 or later. As a temporary mitigation, restrict access to the '/ccm/calendar/view event/{bID}/{occurrence id}' endpoint or disable lightbox properties on public calendar blocks.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات PraisonAI الأقدم من 4.6.58 **الوصف** توجد ثغرة في نظام فرق الوكلاء المتعددين تسمح بتجاوز المصادقة، حيث تفشل الدالة ` create agents app()` في مصادقة الطلبات الموجهة إلى نقاط النهاية ’POST /agents‘ و'POST /agents/{agent name}'. ونتيجة لذلك، لا يزال بإمكان الطلبات التي تحتوي على رموز حامل (bearer tokens) وقيم `X-API-Key` مفقودة أو غير صحيحة أن تؤدي إلى تشغيل الوكيل. **التوصيات** قم بالتحديث إلى الإصدار 4.6.58.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات PraisonAI الأقدم من 4.6.58 **الوصف** يحتوي برنامج PraisonAI على ثغرات تتعلق باجتياز المسار في أدوات التغليف `praisonai.code`، والتي تهدف إلى التعامل مع الإعداد `workspace` كحدود أمنية. يتم تطبيق هذه الحدود بشكل غير متسق وغير سليم عبر عدة أدوات: 1. تستخدم الدالة `is path within directory()` الدالة `os.path.abspath()` بدلاً من `os.path.realpath()`. وهذا يسمح لرابط رمزي موجود داخل مساحة العمل ويشير إلى هدف خارج مساحة العمل بتجاوز الفحوصات الأمنية، مما يمكّن أدوات `read file` و`write file` و`apply diff` و`search replace` من الوصول إلى الملفات الخارجية. 2. تفشل الدالة `list files()` في استدعاء أداة المساعدة الخاصة بالاحتواء تمامًا، مما يسمح للمسارات المطلقة أو تسلسلات `../` بالخروج من مساحة العمل. 3. لا تقوم الدالتان `execute command()` و`code execute command()` بالتحقق من صحة المعلمة `cwd` (دليل العمل الحالي)، مما يسمح بتنفيذ الأوامر من أدلة خارج مساحة العمل المُعدة. يمكن للمهاجم القادر على التأثير على الوكيل — عبر مطالبات غير موثوق بها أو حقن غير مباشر للمطالبات — قراءة الملفات والملفات الثنائية الموجودة خارج مساحة العمل، والكتابة عليها، وإدراجها في قائمة، وتنفيذها، ولا يحد من ذلك سوى أذونات نظام الملفات الخاصة بمستخدم العملية. **التوصيات** تحديث PraisonAI إلى الإصدار 4.6.58. كإجراء تخفيفي مؤقت، تقييد استخدام أدوات `read file` و`write file` و`apply diff` و`search replace` و`list files` و`execute command` عند معالجة

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات PraisonAI الأقدم من 4.6.58 **الوصف** تفتقر واجهة برمجة تطبيقات المهام (Jobs API) في PraisonAI إلى برامج وسيطة للمصادقة، والتبعيات على مستوى جهاز التوجيه، وعمليات التحقق من التفويض لكل مسار. وهذا يسمح لأي متصل يمكنه الوصول إلى خادم المهام بإرسال مهام الوكيل باستخدام بيانات اعتماد LLM المُعدة من قبل المشغل، وإدراج جميع المهام في المخزن المشترك، وقراءة نتائج المهام الأخرى، وإلغاء المهام قيد التشغيل، وحذف المهام المنتهية. تحدث هذه المشكلة لأن الدالة `create app()` في ملف `server.py` تقوم بتحميل موجه المهام دون أي آلية مصادقة. **نقاط نهاية واجهة برمجة التطبيقات (API):** - `/api/v1/runs` (تُستخدم لإرسال المهام وعرض قائمة بها) - `/api/v1/runs/{job id}` (تُستخدم للحصول على حالة المهمة وحذف المهام) - `/api/v1/runs/{job id}/result` (تُستخدم لقراءة نتائج المهمة) - `/api/v1/runs/{job id}/cancel` (تُستخدم لإلغاء المهام) - `/api/v1/runs/{job id}/stream` (تُستخدم لبث مخرجات المهام) **المعلمات أو المتغيرات المعرضة للخطر:** - `job id`: تُستخدم لتحديد مهام معينة لاسترجاعها أو إلغائها أو حذفها. **أسماء الوظائف:** - `create app()`: تفشل في تنفيذ المصادقة عند تثبيت موجه المهام. **التوصيات** تحديث PraisonAI إلى الإصدار 4.6.58 أو أحدث. كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى نقطة النهاية `/api/v1/runs` عن طريق التأكد من أن الخادم مرتبط فقط بـ `127.0.0.1` ولا يتم الكشف عنه عبر واجهات عامة أو نشر الحاويات أو الوكلاء العكسيين أو الأنفاق.

**Name of the Vulnerable Software and Affected Versions** Cloudreve versions prior to 4.16.1 **Description** The software fails to revalidate share access when restoring cached navigator state from a `context hint` UUID. This allows attackers who previously held valid share access to replay the cached hint to generate signed file URLs for up to 300 seconds after the share has been deleted, expired, or reached the limit of remaining downloads. **Recommendations** Update to version 4.16.1 or later.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Serendipity الأقدم من 2.6.0 **الوصف** توجد مشكلة في مرشح `serendipity url allowed()` الذي يفشل في حظر عناوين IPv4 المشفرة سداسيًا عشريًّا، والقيم الثابتة لـ IPv6، ونطاقات الارتباط المحلية. يمكن للمستخدمين المصادق عليهم الذين يمتلكون صلاحية `adminImagesAdd` تجاوز هذا المرشح باستخدام تنسيقات عناوين بديلة لتنفيذ تزوير طلبات من جانب الخادم، مما يسمح لهم بطلب الخدمات الداخلية واسترداد نصوص الاستجابات عبر دليل التحميلات العامة. **التوصيات** قم بالتحديث إلى الإصدار 2.6.0 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Adminer الأقدم من 5.4.3 **الوصف** يسمح المكون الإضافي AdminerFileUpload للمستخدمين المصادق عليهم بتحميل ملفات PHP بسبب قائمة السماح الافتراضية الموسعة للملحقات. يمكن للمهاجمين تحميل برامج ويب شل PHP إلى الأعمدة التي تنتهي بـ ` path` وتنفيذ تعليمات برمجية عشوائية بصفة مستخدم خادم الويب عندما يكون `uploadPath` متاحًا عبر الويب. **التوصيات** التحديث إلى الإصدار 5.4.3 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات «File Browser» الأقدم من 2.63.16 **الوصف** توجد مشكلة في مكون ScopedFs حيث يقوم النظام بالتحقق من أن أقرب سلف موجود لرابط رمزي معلق يقع ضمن النطاق، ثم يتبع هذا الرابط الرمزي أثناء إنشاء الملف. وهذا يسمح للمستخدم المصادق عليه الذي يمتلك أذونات «إنشاء» و«تعديل» بإنشاء ملفات خارج النطاق المخصص له. **التوصيات** التحديث إلى الإصدار 2.63.16.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات e107 السابقة للإصدار 2.3.6 **الوصف** e107 هو نظام لإدارة المحتوى (CMS) يحتوي على ثغرة حقن أوامر في مسار الوجهة الخاص بتغيير حجم الصور في ImageMagick. داخل الدالة `resize image()`، يتم تصفية مسار المصدر بشكل صحيح، لكن مسار الوجهة يتم إدراجه بين علامتي اقتباس مزدوجتين في الأمر convert. في عملية تحميل الأخبار (submit-news)، يتضمن اسم ملف الوجهة الأحرف الستة الأولى من عنوان الخبر الذي يدخله المستخدم. ونظرًا لأن مرشح العنوان يزيل المسافات الحرفية دون أحرف الجدولة، فإن عمليات التوسيع في شل مثل $(...) وعلامات الاقتباس المائلة العكسية يمكن أن تبقى في وسيطة الوجهة الموضوعة بين علامتي الاقتباس، مما يسمح لـ `/bin/sh -c` بتقييم المدخلات التي يتحكم فيها المهاجم. يتطلب الاستغلال تمكين الإعدادات غير الافتراضية التالية: - تعيين `resize method` إلى ImageMagick - تعيين `subnews attach` إلى 1 - تعيين `upload enabled` إلى 1 - تعيين `subnews resize` كقيمة رقمية تتراوح بين 30 و5000 - يجب أن يكون المهاجم مستخدمًا غير إداري في الفئات المسموح بها من قبل كل من `subnews class` و`upload class`. **التوصيات** التحديث إلى الإصدار 2.3.6.

**Name of the Vulnerable Software and Affected Versions** MS-Reviews WordPress plugin versions 1.5 and earlier **Description** The issue allows authenticated users, such as Subscribers, to perform Stored Cross-Site Scripting attacks due to the lack of sanitization and escaping of reviews. **Recommendations** For MS-Reviews WordPress plugin versions 1.5 and earlier, update to a version that properly sanitizes and escapes reviews to prevent Stored Cross-Site Scripting attacks.