Spingarbor

يوجد خطأ في آلية التفويض داخل الواجهة التجريبية `/v2`.

يحتوي Gogs، وهو خدمة Git مفتوحة المصدر ومستضافة ذاتيًا، على مشكلة تتعلق بتجاوز ضوابط الوصول. يمكن للمساهمين في المستودع الذين يتمتعون بأذونات الكتابة حذف الفروع المحمية، بما في ذلك الفرع الافتراضي، عن طريق إرسال طلب POST مباشر. يؤدي ذلك إلى تجاوز آلية حماية الفروع، مما يسمح بتصعيد الامتيازات من مستوى الكتابة إلى مستوى المسؤول. توجد الثغرة الأمنية في الدالة `DeleteBranchPost` داخل الملف `internal/route/repo/branch.go`، وتحديدًا في الأسطر 110-155. لا تؤدي عملية الحذف عبر واجهة الويب إلى تشغيل Git Hooks، التي تمنع بشكل صحيح حذف الفروع المحمية عبر دفع SSH. يجب أن يتمتع المهاجمون بأذونات الكتابة في المستودع المستهدف والوصول إلى واجهة الويب الخاصة بـ Gogs لاستغلال هذه الثغرة. يفتقر الكود المعرض للخطر إلى عمليات التحقق الخاصة بالفروع المحمية والقياسية، في حين أن طبقة واجهة المستخدم و Git Hooks تنفذ هذه العمليات بشكل صحيح. نقطة نهاية واجهة برمجة التطبيقات (API) المعرضة للخطر هي ’/delete/*‘ والمعلمة المعرضة للخطر هي اسم الفرع.

يحتوي Gogs، وهو خدمة Git ذاتية الاستضافة، على ثغرة في التحكم في الوصول. يمكن للمستخدمين المصادق عليهم الذين يتمتعون بحق الكتابة في مستودع ما تعديل العلامات الخاصة بمستودعات أخرى. يحدث هذا بسبب خلل في وظيفة `UpdateLabel` داخل واجهة الويب (`internal/route/repo/issue.go`) عند التحقق مما إذا كانت العلامة التي يتم تعديلها تنتمي إلى المستودع الصحيح. تكمن المشكلة في نقطة نهاية تحديث العلامات في واجهة الويب، `POST /:username/:reponame/labels/edit`، حيث تستخدم وظيفة المعالج `UpdateLabel` استعلامًا إلى قاعدة البيانات يتجاهل التحقق من ملكية المستودع. وعلى وجه التحديد، يتم استدعاء الدالة `database.GetLabelByID(f.ID)` بقيمة `repoID=0`، مما يتجاهل قيود المستودع. تسمح هذه الثغرة الأمنية باحتمال تعطيل تصنيف المشكلات، وإخفاء المشكلات الأمنية، وتعطيل سير العمل. يوجد الكود المعرض للثغرة في `internal/route/repo/issue.go:1040-1054`. نقطة نهاية واجهة برمجة التطبيقات (API) المستخدمة للاستغلال هي `/api/v1/labels/edit`. المعلمة المعرضة للثغرة هي `id`.

Devtron هي منصة لتكامل الأدوات الخاصة بـ Kubernetes. توجد ثغرة في واجهة برمجة تطبيقات (API) لـ Attributes تسمح للمستخدمين المصادق عليهم بالحصول على مفتاح التوقيع الخاص بـ Token API العام من خلال الوصول إلى نقطة النهاية `/orchestrator/attributes?key=apiTokenSecret`. يتيح الحصول على هذا المفتاح للمهاجمين تزوير رموز JWT لهويات مستخدمين عشوائية في وضع عدم الاتصال، مما قد يمنحهم سيطرة كاملة على منصة Devtron ويسمح لهم بالتحرك أفقيًا إلى مجموعة Kubernetes الأساسية. تم حل المشكلة من خلال الالتزام d2b0d26.

لا يقوم البرنامج بالتحقق بشكل صحيح من ملكية المشروع عند التعامل مع عمليات المشاريع الخاصة بالمؤسسة. وهذا يسمح لمستخدم يتمتع بحق الكتابة في مشروع ما ضمن مؤسسة ما بتعديل مشاريع تابعة لمؤسسة أخرى. هذه مشكلة من نوع IDOR (الإشارة المباشرة غير الآمنة إلى الكائن).

اسم البرنامج المعرض للخطر والإصدارات المتأثرة Gitea (الإصدارات المتأثرة غير محددة) الوصف لا تعيد واجهة برمجة التطبيقات (API) الخاصة بالإشعارات التحقق من صلاحية أذونات الوصول إلى المستودع عند تقديم تفاصيل الإشعارات. وعلى وجه التحديد، بعد إلغاء وصول مستخدم ما إلى مستودع خاص، لا يزال بإمكانه عرض عناوين المشكلات وطلبات السحب من خلال الإشعارات التي تلقاها سابقًا. التوصيات في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة Gitea (الإصدارات المتأثرة غير محددة) الوصف لا تعيد واجهة برمجة تطبيقات (API) المؤقت في Gitea التحقق من صلاحية أذونات الوصول إلى المستودع. وهذا يعني أنه في حالة إلغاء وصول مستخدم ما إلى مستودع خاص، فسيظل بإمكانه عرض عناوين المشكلات وأسماء المستودعات من خلال المؤقتات التي تم تشغيلها مسبقًا. تؤثر هذه المشكلة على القدرة على التحكم في الوصول إلى معلومات المستودع بعد تغيير الأذونات. التوصيات في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.

لا يتحقق Gitea بشكل كافٍ من الصلاحيات عند إلغاء عمليات الدمج التلقائي المجدولة عبر واجهة الويب. يمكن للمستخدم الذي يتمتع بحق الوصول للقراءة لطلبات السحب (pull requests) إلغاء عمليات الدمج التلقائي المجدولة من قبل مستخدمين آخرين. ويؤثر ذلك على عملية التفويض الخاصة بإلغاء عمليات الدمج التلقائي المجدولة.

لا يقوم Gitea بالتحقق بشكل صحيح من ملكية المستودع أثناء حذف حجب Git LFS. وهذا يسمح للمستخدم الذي يتمتع بحق الكتابة في مستودع ما بحذف حواجز LFS التي تنتمي إلى مستودعات أخرى. تتعلق المشكلة بالتحقق غير الكافي عند حذف حواجز Git LFS.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة Gitea (الإصدارات المتأثرة غير محددة) الوصف قد يتمكن مستخدم مسجل الدخول من تعديل إعدادات الرؤية الخاصة بهويات OpenID الخاصة بالمستخدمين الآخرين بسبب التحقق غير الصحيح من الملكية عند تغيير رؤية عنوان URI الخاص بـ OpenID. التوصيات في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.

لا يتحقق البرنامج بشكل صحيح من ملكية المستودعات عند إدارة المرفقات المرتبطة بالإصدارات. قد يؤدي ذلك إلى حالة يتم فيها ربط مرفق من مستودع خاص بشكل غير صحيح بإصدار في مستودع عام، مما قد يعرض المرفق للوصول غير المصرح به.

لا يقوم Gitea بالتحقق بشكل صحيح من سياق المستودع أثناء حذف المرفقات. يمكن للمستخدم الذي قام بتحميل مرفق إلى مستودع ما أن يتمكن من حذفه حتى بعد فقدان حق الوصول إلى ذلك المستودع، وذلك عن طريق إرسال الطلب عبر مستودع آخر يُسمح له بالوصول إليه. ويحدث ذلك لأن النظام يفشل في التحقق بشكل صحيح من صلاحية المستخدم لحذف المرفق داخل المستودع الأصلي.

قد يرسل Gitea رسائل بريد إلكتروني لإخطار المستخدمين الذين تم إلغاء وصولهم بإصدار مستودعات خاصة. يحدث ذلك عندما يتم تغيير حالة مستودع من عام إلى خاص، مما قد يؤدي إلى الكشف عن عناوين الإصدارات والعلامات والمحتوى للمستخدمين الذين كانوا يتابعون المستودع سابقًا.