Saidakbarxon Maxsudxonov

Improper access control in the storage adapter allows authenticated users to bypass collection-level permissions. By directly accessing the 'client-upload' endpoint, attackers can upload files without the necessary collection access permissions, circumventing intended security enforcement.

A path traversal issue exists in the self-update API. Authenticated company owners can write arbitrary files outside the intended extraction directory by providing crafted ZIP archives containing `../` sequences to the `/unzip` endpoint. This occurs because unsanitized ZIP entry names are passed to the `ZipArchive::extractTo()` function, allowing attackers to place arbitrary PHP files into the web-accessible public directory and achieve remote code execution (RCE), which is the ability to execute arbitrary commands on the server.

تسمح ثغرة «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR) للمهاجمين المصادق عليهم ذوي الامتيازات المنخفضة بترقية امتيازاتهم من خلال استغلال ثغرة «التشويش في المعلمات» في `UsersController` بين مرشح التفويض ونص الإجراء. من خلال إرسال طلب PATCH إلى نقطة النهاية ’updated ajax‘، يمكن للمهاجم تعيين المعلمة `id` إلى معرف المستخدم الخاص به لتجاوز عمليات التحقق من التفويض الذاتي، مع تعيين المعلمة `user id` إلى معرف الضحية. يؤدي هذا إلى قيام وحدة التحكم بتحميل حساب الضحية وتعديله، مما يمكّن المهاجم من الكتابة فوق كلمات مرور المسؤولين والاستيلاء الكامل على الموقع.

توجد مشكلة تتعلق بنقص في التفويض في وحدة التحكم الخاصة بمستخدمي الإدارة. يمكن للمستخدم المصادق عليه الوصول إلى بيانات الملف الشخصي لأي مستخدم آخر، بما في ذلك المسؤولون، عن طريق إرسال طلب GET إلى نقطة نهاية الملف الشخصي للمسؤول باستخدام عدد صحيح متسلسل قابل للتعداد في معلمة `user ID`. يحدث هذا لأن إجراء الملف الشخصي مستبعد من مرشح التحقق من صحة الدور ويفتقر إلى فحص الملكية.

توجد ثغرة في لوحة التحكم الخاصة بالجوال تتعلق بـ«التنفيذ البرمجي عبر المواقع» (XSS) المخزّن. يمكن للمهاجمين المصادق عليهم إدخال أكواد HTML وJavaScript تعسفية عن طريق تحديث قيم الجهاز الخاصة بالأنواع الفرعية «Text» أو «Alert» عبر واجهة برمجة التطبيقات (API). تقوم لوحة التحكم على الأجهزة المحمولة بعرض هذه البيانات باستخدام `ng-bind-html` مع تحويل `nl2br()` الذي يفشل في تنفيذ عملية الهروب من HTML. وهذا يسمح بتخزين الحمولات الخبيثة وتنفيذها في متصفح المسؤول عند عرض لوحة التحكم، مما قد يؤدي إلى سرقة ملفات تعريف الارتباط الخاصة بالجلسة والاستيلاء على الحساب.

يوجد ثغرة لتجاوز المصادقة في عملية التحقق من رمز webhook الخاص بالمكوّن الإضافي scheduler-webhook. عندما تكون ميزة webhook ممكّنة ولكن لم يتم تكوين `webhookToken`، يتخطى النظام عملية التحقق من صحة الرمز. وهذا يسمح لمهاجم عن بُعد غير مصدّق بتشغيل المهام المجدولة التي تم تكوينها مسبقًا عن طريق إرسال طلب إلى نقطة النهاية ’POST /scheduler/webhook‘. يمكن للمهاجم تحديد المهمة التي سيتم تشغيلها باستخدام المعلمة `job`، على الرغم من أنه لا يمكنه التحكم في حمولة المهمة. لا يكون تنفيذ التعليمات البرمجية عن بُعد ممكنًا إلا إذا كان المشغل قد قام بتكوين مهمة تُنفذ أوامر shell. تتطلب هذه المشكلة تثبيت المكون الإضافي scheduler-webhook وتعيين الإعداد `scheduler.modern.webhook.enabled` على القيمة true.

أداة إنشاء التقارير الموجهة الموجودة في `reports/guided reports.pl` معرضة لخطر حقن SQL الأعمى القائم على الوقت. يقوم التطبيق بقراءة معلمة CGI `order by` ومعلمة `{order} ovalue` ذات الاسم الديناميكي، ودمجهما مباشرةً في جملة ORDER BY في SQL دون التحقق من صحتها أو استخدام قائمة المسموح بها. يحدث هذا لأن السلسلة الناتجة تُلحق حرفياً بالاستعلام النهائي في `C4::Reports::Guided` عبر العملية `$query .= $orderby;`. يمكن لحسابات الموظفين التي تتمتع بأذونات `create reports` أو `execute reports` استغلال هذه الثغرة للوصول إلى قاعدة البيانات، التي تحتوي على معلومات التعريف الشخصية (PII) للمستفيدين وبيانات اعتماد الموظفين أو LDAP.

تستدعي وحدات التهيئة LoRA-GA و CorDA الدالة `torch.load()` على ملفات ذاكرة التخزين المؤقت أو ملفات التباين المحددة في التكوين دون تعيين المعلمة `weights only=True`. وهذا يتجاوز غلاف التحميل الآمن المُنفَّذ في أجزاء أخرى من قاعدة الكود. ونظرًا لأن `torch.load()` بدون `weights only=True` تقوم بإلغاء تسلسل ملفات pickle بالكامل، يمكن للمهاجم تنفيذ تعليمات برمجية عشوائية عن طريق توفير ملف ذاكرة تخزين مؤقت أو ملف التباين المشترك خبيث، مثل الملفات التي يتم مشاركتها أو تنزيلها.

تفشل الدالة `sanitize sql column()` الموجودة في ملف `lib/functions.php` في تنقية أسماء أعمدة ORDER BY التي يزودها المستخدم بشكل صحيح. تستخدم الدالة تعبيرًا عاديًا يسمح بالأحرف والأرقام وعلامات التسطير السفلية والأقواس والنقاط، مما يتيح مرور حمولات مثل `SLEEP(5)` دون تعديل. يتم ربط هذه القيمة التي تمت معالجتها مباشرةً بجمل ORDER BY في لغة SQL الخام عبر معلمة GET `sort column` في نقاط النهاية ’user log.php‘ و'utilities.php' و'user domains.php' و'user group admin.php'. ونتيجة لذلك، يمكن لأي مستخدم تمت مصادقته تنفيذ حقن SQL أعمى قائم على الوقت، وهي تقنية تُستخدم لاستخراج المعلومات من قاعدة البيانات من خلال مراقبة الوقت الذي يستغرقه الخادم للرد على استعلامات محددة.

يفشل المكون الإضافي «Comments» في نظام إدارة المحتوى Cotonti CMS في تقييد الفئات أثناء عملية إزالة التسلسل للبيانات التي يقدمها المستخدم، مما يؤدي إلى حدوث ثغرة «PHP Object Injection». يحدث هذا عند استخدام الدالة `unserialize()` على مدخلات تم فك تشفيرها باستخدام base64 دون تقييد `allowed classes`. توجد المشكلة في المواقع التالية: - في ملف `plugins/comments/controllers/actions/CreateAction.php`، تتم معالجة معلمة POST `ci`. - في الملف `plugins/comments/controllers/actions/EditAction.php`، تتم معالجة المعلمة `cb` داخل الدالة `prepareComeBack()`. - في الملف `plugins/comments/controllers/actions/DeleteAction.php`، يوجد نمط مشابه ولكنه يقتصر على المسؤولين. يمكن للأعضاء الذين يتمتعون بحق الكتابة في التعليقات استغلال هذه الثغرة لإنشاء مثيلات لفئات عشوائية يتم تحميلها بواسطة النظام. على سبيل المثال، باستخدام فئة `MySQL cache`، يمكن للمهاجم تشغيل سلسلة ` destruct()->flush()` لتنفيذ عمليات `INSERT INTO cot cache` غير مصرح بها. اعتمادًا على سلاسل الأدوات المتاحة في التثبيت، قد يؤدي هذا إلى تنفيذ التعليمات البرمجية عن بُعد (RCE)، وهي القدرة على تنفيذ أوامر عشوائية على الخادم.

يحتوي مُحلل توسيع بيانات المستخدم `AugmentedUser::get()` الموجود في ملف `src/Auth/AugmentedUser.php` على حالة خاصة بمُعالج `two factor recovery codes` تُرجع رموز الاسترداد ذات العاملين في صيغتها الأولية دون أي قيود على الوصول. وعلى عكس كلمات المرور، لا تُستثنى هذه الرموز من عملية التوسيع ولا تُدرج في قوائم حماية المتغيرات في Antlers، التي عادةً ما تحمي `config.app.key` فقط. إذا تم تمكين العرض الديناميكي للقوالب لحقل ما على مستوى المخطط (blueprint)، فيمكن للمهاجم استخدام قالب مثل `{{ current user.two factor recovery codes }}` لعرض رموز الاسترداد الخاصة بالمستخدم مباشرةً في استجابة HTML. وهذا يسمح للمهاجم الذي يمكنه عرض الاستجابة أو التقاطها بالحصول على الرموز وتجاوز المصادقة الثنائية (2FA). يعتمد الاستغلال على تمكين العرض الديناميكي لـ Antlers عبر تكوين المخطط.

تفشل وظيفة المساعدة الخاصة بفرز الشبكة في لوحة الإدارة ` gridGetSorting()` الموجودة في الملف includes/classes/ia.base.controller.admin.php في التحقق بشكل صحيح من صحة معلمة GET `sort`. ورغم أن الدالة تحاول إدراج معلمة الاتجاه في القائمة البيضاء، إلا أنها تلجأ إلى استخدام معلمة `sort` الأولية التي يزودها المهاجم عندما تكون المفتاح المطلوب غائبًا عن مصفوفة القائمة البيضاء `$ gridSorting`. ثم يتم إدراج هذه القيمة في استعلام SQL باستخدام `sprintf()` مع استخدام علامات الاقتباس المائلة العكسية فقط ودون أي إجراءات حماية. يمكن لجلسة عمل إدارية معتمدة استخدام علامة backtick في الحمولة للخروج من سياق المعرف وتنفيذ حقن SQL، مثل الاستخراج القائم على الأخطاء عبر `EXTRACTVALUE()` أو الاستخراج القائم على الوقت عبر `SLEEP()`، لاسترداد محتويات قاعدة البيانات بما في ذلك تجزئات كلمات مرور المسؤولين. تؤثر هذه المشكلة على غالبية وحدات التحكم في شبكات الإدارة، بما في ذلك pages.php و transactions.php و languages.php و members.php.

يقوم Bolt CMS بعرض قيم حقول المحتوى باستخدام بيئة Twig الكاملة على مستوى التطبيق دون استخدام SandboxExtension. في الملف `src/Entity/Field.php`، تستدعي الدالة `getTwigValue()` الدالة `shouldBeRenderedAsTwig()`، التي تتحقق فقط من علامة `allow twig` وتعبيراً نمطياً منتظماً لـ `{{` أو `{%` أو `{#`. عند استيفاء هذه الشروط، يتم تجميع قيمة الحقل الأولية وعرضها عبر `self::getTwig()->createTemplate($value)->render([’record‘ => $this->getContent()])` دون عزل في بيئة آمنة. نظرًا لأن حقل المحتوى الافتراضي للصفحات في ملف `config/bolt/contenttypes.yaml` يحتوي على قيمة `allow twig` مضبوطة على true افتراضيًا، يمكن للمستخدمين الذين يمتلكون صلاحية التحرير لهذا النوع من المحتوى إدخال حمولات Twig لتنفيذ أوامر عشوائية لنظام التشغيل بصفة مستخدم خادم الويب، مما يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد.

يحتوي التنفيذ المرجعي لنظام إدارة الشبكة غير المتزامن (ANMS) على مشكلة في التكوين حيث يتم نشر واجهة برمجة تطبيقات REST لخدمة `amp-manager` مباشرةً على واجهة شبكة المضيف عبر المنفذ 8089. يتجاوز هذا التكوين بوابة مدير التكوين والوصول (CAM)، التي تعمل كحدود المصادقة الوحيدة للنظام. خادم REST الأساسي، الذي تم تنفيذه باستخدام CivetWeb في `dtnma-tools` (على وجه التحديد في `src/refdm/nm rest.c`)، يكون إعداد `enable auth domain check` معطلاً فيه ويستخدم استدعاءً للمصادقة فارغًا لجميع المسارات. وهذا يسمح لأي عميل يمكن الوصول إليه عبر الشبكة بتعداد الوكلاء المسجلين، ومسح التقارير المخزنة، وإرسال مجموعات أوامر عشوائية إلى الوكلاء عبر نقطة النهاية `.../agents/{eid|idx}/send`، التي تقوم بإعادة توجيه مجموعات الأوامر المشفرة بتنسيق EXECSET إلى وكلاء DTNMA المسجلين.

يمكن للمستخدمين المصادق عليهم تجاوز إجراءات الحماية من تزوير الطلبات من جانب الخادم (SSRF) باستخدام الترميز السداسي العشري لعناوين IP في عناوين URL التي يتحكم فيها المستخدم. من خلال ميزة إنشاء الروابط على الويب، يمكن للمهاجمين إرسال عناوين IP داخلية مشفرة بالرقم السداسي العشري، مما يؤدي إلى قيام cURL بالاتصال بموارد الشبكة الداخلية، بما في ذلك خدمات المضيف المحلي (localhost)، وخدمات بيانات تعريف مثيلات السحابة، وعناوين RFC1918. يحدث هذا لأن الدالة `isPrivateURL()` الموجودة في ملف `app/Core/Http/Client.php` تتحقق بشكل غير صحيح من أن المدخلات آمنة، حيث إن `FILTER VALIDATE IP` ترفض الترميز العشري غير المنقط.

يفتقر مدير واجهة «امتداد الارتباط الفضائي» (SLE) إلى المصادقة المناسبة، مما يسمح للمهاجمين غير المصادق عليهم عبر الشبكة بالوصول إلى سبعة مسارات واجهة برمجة التطبيقات (API) غير محمية عبر طلبات HTTP مباشرة. وهذا يتيح للمهاجمين بدء أو إيقاف جلسات اتصال شبكة الفضاء السحيق (DSN)، واسترداد بيانات إطارات القياس عن بُعد، وإدخال إطارات عشوائية في روابط المركبات الفضائية النشطة.

يسمح خلل في المصادقة لمهاجم شبكة غير مصدق عليه بالحصول على جلسة عمل صالحة وإصدار أوامر عشوائية للمركبة الفضائية. ويكون ذلك ممكنًا عن طريق استدعاء الدالة `Sessions.create()`، التي تفشل في إجراء عمليات التحقق من بيانات الاعتماد. وبمجرد إنشاء الجلسة، يمكن للمهاجم استدعاء الدالة `handle cmd()` لإعادة توجيه أوامر عشوائية مباشرةً إلى ناقل أوامر AIT، حيث لا توجد بوابة مصادقة بين إنشاء الجلسة وإرسال الأوامر.

يمكن للمسؤولين المصادق عليهم تنفيذ أوامر عشوائية بصفة مستخدم عملية خادم الويب من خلال تكوين مسار نسخ احتياطي ضار وتشغيل عملية النسخ الاحتياطي. تقوم خدمة `FileBackupService` بإنشاء أمر tar shell باستخدام تسلسل السلاسل، حيث تدمج متغير `siteBackupPath` دون تنقية مناسبة عبر `escapeshellarg()` أو طرق مماثلة قبل تمريره إلى دالة `exec()`. وهذا يسمح للأوامر المُحقنة بالبقاء والتنفيذ خلال كل عملية نسخ احتياطي لاحقة.

يوجد ثغرة في عملية تجاوز المصادقة في المكوّن الإضافي scheduler-webhook بسبب خلل منطقي في الدائرة القصيرة أثناء التحقق من صحة رمز webhook. وهذا يسمح للمهاجمين عن بُعد غير المصادق عليهم بتشغيل المهام المجدولة المُعدة مسبقًا عن طريق إرسال طلب POST إلى نقطة نهاية webhook الخاصة بالمجدول. يمكن للمهاجمين تنفيذ جميع المهام المُعدة مسبقًا أو استهداف مهمة معينة، مما يؤدي إلى التنفيذ غير المقصود لأوامر محددة من قبل المشغل بموجب امتيازات مستخدم عملية خادم الويب.

يؤدي عدم وجود إجراءات ترخيص في نقطة نهاية واجهة برمجة تطبيقات (API) لتخزين الملفات في Bucket ’/system/buckets/api‘ إلى تمكين المستخدمين المصادق عليهم من تجاوز ضوابط الوصول. تقوم الدالة `api()` الموجودة في الملف modules/System/Controller/Buckets.php بتنفيذ أوامر مثل `ls` و`upload` و`removefiles` و`rename` و`createfolder` دون التحقق من قوائم التحكم في الوصول (ACL) أو أدوار المستخدمين. ونتيجة لذلك، يمكن لأي مستخدم تمت مصادقته تنفيذ جميع عمليات سلة التخزين على أي سلة تخزين مسماة، بما في ذلك تلك المخصصة للمسؤولين.