Seankohjs

يقوم نقطة النهاية `/credentials/signurl` باستخدام ترويسة HTTP `X-Rucio-Account` بشكل خاطئ لتحديد التفويض بدلاً من هوية الحساب المخزنة في رمز المصادقة. يمكن لأي مستخدم مصرح له بصلاحيات منخفضة تقديم `root` كقيمة لترويسة `X-Rucio-Account` لتجاوز فحص إذن `get signed url()` المخصص للمسؤولين فقط. يسمح هذا للمهاجم بالحصول على رابط موقع مسبقاً للقراءة أو الكتابة أو الحذف لأي كائن عشوائي باستخدام بيانات اعتماد S3 أو GCS أو Swift المخزنة في خادم Rucio. بالإضافة إلى ذلك، في عمليات النشر متعددة الـ VO، يمكن استخدام ترويسة `X-Rucio-VO` للوصول إلى مستأجرين آخرين. يؤدي ذلك إلى كشف البيانات وتعديلها وحذفها والوصول غير المصرح به بين المستأجرين في RSEs المدعومة سحابياً.

توجد مشكلة في التعقيد الخوارزمي في دالة `parse link text()` الخاصة بمحلل الروابط المضمنة. يمكن للمهاجمين غير المصرح لهم التسبب في استنفاد وحدة المعالجة المركزية (CPU) عن طريق إرسال Markdown يحتوي على العديد من الأحرف '[' أو '[!' غير المتوازنة. يؤدي ذلك إلى عمليات مسح أمامي غير محدودة ومتكررة، مما قد يتسبب في تعليق عمليات التشغيل لعدة دقائق.

توجد مشكلة في مطابقة البادئة الخاصة بإعداد `trust` داخل ملف `copier/ settings.py`، حيث تتم مقارنة عنوان URL النموذجي ببادئة موثوقة باستخدام `str.startswith` دون توحيد المسار. ونظرًا لأن عنوان URL يتم تطبيعه أثناء عملية الاسترداد الفعلية (باستخدام `Path.resolve()` للمسارات المحلية وإزالة مقطع النقطة في libcurl لـ HTTPS)، فإن مرجع القالب الذي يحتوي على `..` والذي يبدأ نصيًا ببادئة موثوقة يمكن منحه الثقة. وهذا يسمح لقالب يتحكم فيه المهاجم بتنفيذ `tasks` أو `migrations` أو `jinja extensions` دون مطالبة `--trust`، مما يؤدي إلى تنفيذ أوامر تعسفية.

توجد ثغرة في وظيفة `to markdown()` تسمح بتنفيذ برمجة نصية عبر المواقع (XSS). تحدث المشكلة لأن عناصر span المضمنة في الكود لا تتعرف على الأسطر الفارغة كحدود للكتل. وهذا يسمح للمهاجمين بإدخال أسطر فارغة في الكود أو النص السابق لعنصر span لكسر العنصر المضمن، مما يؤدي إلى إخراج كود HTML المُعقّم دون هروب الأحرف، ومن ثم إعادة تحليله كـ Markdown نشط بواسطة برامج العرض المتوافقة.

يفشل خادم واجهة برمجة تطبيقات Docker في تطبيق فحوصات وجهة تزوير الطلبات من جانب الخادم (SSRF) على مسار البث. يمكن لعميل بعيد غير مصدق استغلال هذا الثغرة عن طريق استدعاء نقطة النهاية ’POST /crawl/stream‘ أو نقطة النهاية ’POST /crawl‘ مع تعيين المتغير `crawler config.stream` على القيمة true. تقوم الدالة `handle stream crawl request()` بتمرير عناوين URL الأولية مباشرةً إلى أداة الزحف دون التحقق من صحتها، مما يسمح للخادم باسترداد نصوص الاستجابات وبثها من عناوين داخلية أو خاصة أو محلية.