Santoshkumarpuppala

يمكن للمستخدمين المصرح لهم الذين لديهم أدوار U/user أو D/domain-admin أو H/host تحرير أو حذف رسائل البريد الإلكتروني المحجوزة (في الحجر الصحي) والتابعة لمستخدمين أو نطاقات أخرى بشكل دائم. يحدث هذا لأن نقطة النهاية 'mailscanner/quarantine action.php' تستدعي الدالة `quarantine list items()` في 'mailscanner/functions.php'، والتي تستخرج البيانات من `maillog` باستخدام `id` مقدم دون تطبيق `global filter` الخاص بكل دور. ونظرًا لأن معرفات الرسائل قابلة للتعداد ولا يتم التحقق من الملكية، يمكن لمستخدم ذو صلاحيات منخفضة استدعاء الدالتين `quarantine release()` أو `quarantine delete()` لرسائل محجوزة لا يملكها.

يمكن للمستخدمين الضيوف الموافقة على عروض الأسعار التابعة لأي عميل أو رفضها بغض النظر عن تعيينهم. في متحكم عروض أسعار الضيوف الموجود في `application/modules/guest/controllers/Quotes.php` يقوم method `approve()` و method `reject()` باستدعاء `approve quote by id($quote id)` و `reject quote by id($quote id)` دون تنفيذ نطاق العميل اللازم. يسمح هذا للمستخدم الضيف بتغيير حالة عرض سعر لعميل آخر عن طريق تقديم قيم `quote id` صحيحة متسلسلة، مما يؤدي أيضاً إلى إرسال رسائل بريد إلكتروني للإخطار عبر `email quote status()`. علاوة على ذلك، تقوم function `generate pdf()` باستدعاء `mark viewed($quote id)` قبل التحقق من نطاق العميل، مما يسمح للمستخدمين الضيوف بتحديد عروض أسعار العملاء الآخرين على أنها تمت مشاهدتها.

يفشل معالج أوامر JSON `udevices` وهو `Cmd UpdateDevices` في `main/WebServerCmds.cpp` في إجراء فحص `session.rights` قبل استدعاء نص تحليل Lua. يمكن لمستخدم مصرح له بصلاحيات منخفضة تحفيز تنفيذ نص تحليل Lua مثبت مسبقًا من قبل المشغل باستخدام مدخلات يتحكم فيها المهاجم عبر نقطة النهاية `GET /json.htm` مع `type=command` و `param=udevices`. بالإضافة إلى ذلك، يفتقر المعامل `script` إلى حماية ضد تخطي المسار (path-traversal) في `CLuaHandler::executeLuaScript` ضمن `main/LuaHandler.cpp` والذي يقوم ببناء اسم الملف من دليل المحلل واسم النص المقدم قبل تمريره إلى `luaL loadfile`. يقتصر التنفيذ على ملفات Lua صالحة مثبتة مسبقًا.

توجد مشكلة حيث يمكن لرمز API الخاص بمستخدم غير مسؤول لديه صلاحية القراءة لنوع كائن (ObjectType) واحد الوصول إلى السجل الكامل المحدث لكائنات تنتمي إلى أي نوع كائن آخر. يحدث هذا عبر نقطة النهاية `GET /api/v2/objects/{uuid}/{index}`. تقوم إجراء `history detail` في `src/objects/api/v2/views.py` بتجاوز فحوصات الأذونات الضرورية من خلال استدعاء `self.get queryset()` و `get object or 404` بدلاً من `self.get object()`، مما يمنع تنفيذ `check object permissions` وفحص `ObjectTypeBasedPermission.has object permission`. نتيجة لذلك، يمكن الكشف عن `data` الخاصة بالكائنات المحدثة، والتي قد تتضمن سجلات مواطنين أو قضايا حساسة.

تفشل بعض نقاط النهاية في فرض فحوصات الأذونات المناسبة. يتيح ذلك للمستخدمين المصرح لهم الوصول إلى البيانات المالية وقراءتها بما يتجاوز الأذونات الممنوحة لأدوارهم المحددة.

Staff users assigned the Editor or Super Editor roles can assign their own role to users with Author or Contributor roles, bypassing the intended permission restrictions.

Ghost fails to correctly restrict staff role assignment. This allows authenticated users with the Editor or Super Editor role to assign their own role to other staff members, even though they lack the necessary permissions. Consequently, an Editor or Super Editor can promote users with Author or Contributor roles to Editor or Super Editor status.

An SQL injection issue exists in the analytics filter builder due to insufficient validation of `profile.*` filter column identifiers before they are interpolated into ClickHouse WHERE clauses. An authenticated attacker possessing project-scoped read or root export credentials can execute arbitrary ClickHouse SQL. This allows the attacker to bypass project isolation and access analytics data and profile PII (Personally Identifiable Information) from other organizations using blind boolean oracle techniques, a method of extracting data by asking the database true/false questions based on the application's response.

The `index.js` file fails to normalize the `options.fileName` variable using `path.basename()` when constructing a filesystem path via `path.join(tempDir.name, fileName)`. This allows a caller to provide a filename containing path traversal sequences like `../`, enabling the writing of a document buffer to arbitrary paths writable by the process, such as SSH `authorized keys` files, cron configurations, or web roots.