Rz1027

Improper neutralization of a NUL byte in cPanel allows remote attackers to read any mail account's calendar and contact data.

An argument injection flaw allows local users to execute arbitrary code with the privileges of other accounts hosted on the same server.

An improper authorization flaw exists during the issuance of passkey or passwordless enrollment codes. The system validates the organization specified in the `x-zitadel-orgid` header but fails to verify the organization of the target user. This allows an attacker with user-write permissions in one organization to obtain an enrollment code for a user belonging to a different organization on the same instance, enabling the attacker to register their own authenticator and take over the account.

A stored Cross-Site Scripting (XSS) issue exists in the Manage SSL Hosts interface. This flaw allows an attacker with low privileges to execute arbitrary code, potentially impacting confidentiality, integrity, and availability.

A stored Cross-Site Scripting (XSS) issue exists in the Mass Modify Accounts interface. This flaw allows an attacker with low privileges to execute arbitrary code, impacting confidentiality, integrity, and availability.

Insufficient validation in the Multilang adminbin allows for the execution of arbitrary commands, which can grant root-level access to the server. Additionally, stored Cross-Site Scripting (XSS)—a technique where malicious scripts are permanently stored on a target server—exists within the SSL and account modification interfaces, enabling attackers to perform actions via an administrator's browser session.

File owners are unable to unlock TYPE TOKEN locks that were placed by other users. This results in files remaining permanently locked, with no available recovery method outside of direct database intervention.

يمكن للمستخدمين المصادق عليهم الذين يتمتعون بأذونات قراءة الجداول استرداد تكوينات مصادر البيانات من خلال واجهة برمجة التطبيقات (API) للقراءة للحصول على بيانات اعتماد قاعدة البيانات الخلفية الحية ومفاتيح حسابات الخدمة. يفشل النظام في حجب بيانات الاعتماد المخزنة في الحقول من النوع STRING، مما يسمح بكشف سلاسل اتصال MongoDB والمفاتيح الخاصة لـ Firebase بنص عادي.

تحتوي صورة Docker الرسمية لـ Gitea على عيب في التكوين في القالب `app.ini` حيث يتم تعيين المتغير `REVERSE PROXY TRUSTED PROXIES` إلى `*` بشكل افتراضي. عند تمكين مصادقة الوكيل العكسي عبر الإعداد `ENABLE REVERSE PROXY AUTHENTICATION`، يثق التطبيق في رؤوس الهوية الواردة من أي عنوان IP مصدر بدلاً من قصرها على وكيل موثوق به. وهذا يسمح لمهاجم بعيد غير مصدق عليه بانتحال صفة أي مستخدم، بما في ذلك المسؤولين، عن طريق إرسال رأس `X-WEBAUTH-USER` مُصمم خصيصًا مباشرةً إلى منفذ HTTP الخاص بالحاوية. إذا تم تمكين التسجيل التلقائي، يمكن للمهاجم انتحال صفة أسماء مستخدمين عشوائية لا توجد بعد في النظام. لا تؤثر هذه المشكلة على واجهة برمجة التطبيقات (API) القائمة على الرموز المميزة (`/api/v1/...`). يوجد ما يقارب 22,900 مضيف Gitea فريد معرضًا للإنترنت، مع ما يقدر بـ 6,200 مثيل تم استهدافها بشكل خاص في محاولات الاستغلال المبكرة. وقد لوحظت أنشطة استطلاع فعلية باستخدام خدمات إخفاء الهوية للبحث عن المثيلات المعرضة للخطر.