Shiyufan_Binyuan

A security vulnerability has been detected in Moonshot AI Kimi Code up to 2.5.2. This affects the function isOriginAllowed of the file apps/kimi-code/dist-web/assets/index-HU0LCM-X.js of the component Web UI. Such manipulation of the argument kimi origin leads to open redirect. The attack can be executed remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

A vulnerability was detected in Moonshot AI Kimi Code up to 2.0.2. This vulnerability affects unknown code of the file .kimi-code/local.toml of the component WorkspaceDirsService. Performing a manipulation of the argument additional dir results in reliance on untrusted inputs in a security decision. The attack requires a local approach. The exploit is now public and may be used. Upgrading to version 2.1.0 is able to resolve this issue. Upgrading the affected component is recommended.

A security flaw has been discovered in Shanghai Xi Yu Ji Zhi Technology Minimax Code 0.5.8. This affects an unknown part of the component Find Command Handler. The manipulation of the argument -exec results in os command injection. The attack may be performed from remote. The vendor was contacted early about this disclosure but did not respond in any way.

توجد مشكلة في مكون Sed Command Filter حيث تسمح المعالجة غير الصحيحة بحقن أوامر نظام التشغيل. تتيح هذه الثغرة للمهاجمين عن بُعد تنفيذ أوامر نظام تشغيل تعسفية على النظام المصاب.

يوجد خلل في الدالة `spawn()` ضمن مكون Sandbox. تتيح معالجة الوسيط `Profile` للمهاجم التسبب في مشكلة في بيئة العزل (sandbox)، والتي يمكن تنفيذها على المضيف المحلي.

تسمح عملية تلاعب عن بُعد بالدالة `agent()` ضمن مكون `dsh-workflow-worker-thread` بفرض سير عمل سلوكي.

يوجد ثغرة أمنية في JingDong JD Cloud Box AX6600 تسمح بتصعيد الصلاحيات عن بُعد. تقع الثغرة داخل المكون `jdcweb rpc`، وتحديدًا في الدالة `web get ddns uptime` الموجودة في الملف `/jdcapi`. قد يؤدي التلاعب الناجح بهذه الدالة إلى تصعيد غير مصرح به للامتيازات. وقد تم الكشف عن استغلال هذه الثغرة علنًا. تم إخطار المزود، لكنه لم يقدم أي رد.

توجد ثغرة أمنية في JingDong JD Cloud Box AX6600. ترتبط المشكلة بوظيفة `cast streen` داخل المكون `jdcweb rpc`، وتحديدًا في الملف `/jdcapi`. قد يؤدي التلاعب بالمعلمة `File` إلى تصعيد امتيازات عن بُعد. يمكن تنفيذ الهجوم عن بُعد. وقد تم الكشف عن استغلال هذه الثغرة علنًا.

توجد ثغرة أمنية في جهاز JingDong JD Cloud Box AX6600 قد تسمح برفع الصلاحيات عن بُعد. تكمن المشكلة في المكون `jdcapp rpc`، وتحديدًا في الملف `/f/service/controlDevice` وفي الدالة `set screen disabled status/get status`. يمكن شن الهجوم عن بُعد، وهناك استغلال متاح للجمهور. تم إبلاغ المزود بهذه المشكلة، ولكن لم ترد أي استجابة.