Str1Ckl4Nd

Trigger.dev 4.5.0 before 4.6.0 contains an information disclosure vulnerability in the Dashboard Agent input proxy that stores a delegated user-actor token in browser-readable session input records. Attackers holding a chat's public session token can read the in records endpoint to recover the token from payload.metadata.userActorToken and replay it for environment JWT exchange.

Trigger.dev before 4.5.12 contains an authorization bypass vulnerability that allows authenticated project members to complete another member's DEVELOPMENT environment waitpoint by skipping the per-user environment ownership check. Attackers who know a victim's waitpoint friendly ID can submit type=DATETIME or type=MANUAL with isTimeout to prematurely mark the pending waitpoint completed.

**Name of the Vulnerable Software and Affected Versions** Nx versions prior to 22.7.9 Nx versions 23.0.0 through 23.1.1 **Description** Nx creates Unix domain sockets for its daemon and isolated plugin workers in shared temporary locations without restricting permissions to the owner. On shared build servers, developer hosts, or multi-user containers, an unprivileged local account can discover and connect to these sockets because the transport lacks authentication and relies solely on filesystem containment. A caller can send a `PROCESS IN BACKGROUND` request containing a module path to invoke its default export, enabling remote code execution as the account running Nx. Additionally, other handlers may expose task hashes, project graphs, and workspace file contents. **Recommendations** Update Nx to version 22.7.9. Update Nx to version 23.1.2.

**Name of the Vulnerable Software and Affected Versions** Vikunja versions prior to 2.6.0 **Description** Authenticated users can cause a denial of service during data import because the system fails to limit archive expansion. An attacker can upload highly compressed files that expand to tens of gigabytes in memory and on disk, which exhausts server resources and crashes the instance. **Recommendations** Update to version 2.6.0 or later.

**Name of the Vulnerable Software and Affected Versions** vikunja versions prior to 2.6.0 **Description** A resource exhaustion issue exists in the '/task-filter' endpoint. The system accepts deeply nested filter expressions without enforcing recursion depth limits. Authenticated attackers can provide thousands of nested parentheses via the `filter` query parameter to exhaust system memory, leading to the termination of the API process. **Recommendations** Update to version 2.6.0 or later. As a temporary mitigation, restrict the use of the `filter` parameter in the '/task-filter' endpoint.

**Name of the Vulnerable Software and Affected Versions** vikunja versions prior to 2.6.0 **Description** A resource exhaustion issue exists where the system fails to limit parsed row cardinality. Authenticated attackers can upload multipart CSV files containing millions of small records to the 'POST /api/v2/migration/csv/migrate' endpoint, leading to process memory exhaustion and termination of the API service. **Recommendations** Update to version 2.6.0 or later. Restrict access to the 'POST /api/v2/migration/csv/migrate' endpoint to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** Vikunja versions prior to 2.6.0 **Description** A resource exhaustion issue exists in the Planka migrator, which fails to enforce aggregate memory budgets during migration jobs. Authenticated attackers can trigger this by submitting migration requests that point to servers under their control. These servers can advertise a large number of size-compliant attachments, leading to the exhaustion of worker memory and resulting in a denial of service for all users. **Recommendations** Update to version 2.6.0 or later.

**Name of the Vulnerable Software and Affected Versions** Vikunja versions prior to 2.6.0 **Description** Authenticated users can cause a denial of service by uploading specially crafted images to the avatar and project-background upload endpoints. The software fails to apply pixel decode limits, allowing images with extreme aspect ratios to consume excessive CPU and memory during processing. This can be triggered through repeated or concurrent uploads. **Recommendations** Update to version 2.6.0 or later.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات webpack-dev-server الأقدم من 5.2.6 **الوصف** يمكن لطرف غير مصدق عليه أن يتسبب في إنهاء عملية Node.js، مما يؤدي إلى حدوث هجوم رفض الخدمة. يحدث هذا عندما يتلقى الخادم طلب HTTP عاديًا يحتوي على رأس «Host» غير صحيح الشكل، أو طلب ترقية WebSocket إلى نقطة النهاية `/ws` يحتوي على رأس «Origin» غير صحيح الشكل. تؤدي القيم غير الصحيحة إلى حدوث استثناء لم يتم التقاطه في مسار التحقق من صحة المضيف، مما يؤدي إلى تعطل خادم التطوير. يقتصر التأثير على توفر الخادم، دون أي خطر لتنفيذ التعليمات البرمجية أو الكشف عن البيانات. **التوصيات** قم بالترقية إلى الإصدار 5.2.6 من webpack-dev-server. حافظ على ربط خادم التطوير بـ localhost وتجنب تعريضه لشبكات غير موثوق بها.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات http-proxy-middleware من 0.16.0 إلى 2.0.9 إصدارات http-proxy-middleware من 3.0.0 إلى 3.0.5 إصدارات http-proxy-middleware من 4.0.0 إلى 4.0.9 **الوصف** توجد مشكلة في تنفيذ جدول الوكيل `router` حيث تستخدم محددات المضيف والمسار (host+path) مطابقة سلاسل فرعية غير مثبتة على بيانات تعريف الطلب. عندما يحتوي مفتاح جهاز التوجيه على علامة `/`، تقوم الدالة `getTargetFromProxyTable()` بدمج رأس `Host` وعنوان URL للطلب في سلسلة واحدة وتتحقق مما إذا كان المفتاح المُهيأ يمثل سلسلة فرعية من تلك القيمة المدمجة. وهذا يسمح للمهاجم بتجاوز حدود التوجيه عن طريق توفير رأس `Host` مُصمم خصيصًا يعمل كمطابقة لسلسلة فائقة للمفتاح المُهيأ، مما قد يؤدي إلى توجيه الطلبات إلى خوادم خلفية غير مقصودة. ويؤثر هذا على الدالة `createProxyMiddleware()` عند تهيئتها بقواعد المضيف والمسار. **التوصيات** قم بالتحديث إلى الإصدار 2.0.10 أو 3.0.6 أو 4.1.0 حسب الإصدار الرئيسي المستخدم. كحل مؤقت، تجنب استخدام محددات المضيف والمسار في تكوين `router` الخاص بـ `createProxyMiddleware()` حتى يتم تطبيق التحديث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** undici الإصدار 8.1.0 **الوصف** يفرض عميل undici WebSocket قيمة `maxPayloadSize` على أساس كل إطار على حدة، لكنه يفشل في فرض الحد الأقصى للحجم التراكمي للرسائل المجزأة غير المضغوطة. يمكن لخادم WebSocket ضار بث العديد من الأجزاء الصغيرة التي تجتاز عملية التحقق من الصحة بشكل فردي، لكنها تتجاوز مجتمعة الحد المحدد. يؤدي ذلك إلى نمو غير محدود للذاكرة في عملية العميل، مما يؤدي إلى استنفاد الذاكرة وحجب الخدمة. تؤثر هذه المشكلة على التطبيقات التي تستخدم عميل `new WebSocket(...)` والتي تتصل بنقاط نهاية مخترقة أو خاضعة لسيطرة المهاجم. **التوصيات** قم بالترقية إلى إصدارات undici 8.5.0 أو الأحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات electron-updater الأقدم من 9.7.0 **الوصف** لا يقوم معالج إعادة التوجيه عبر HTTP `HttpExecutor.prepareRedirectUrlOptions()` إلا بإزالة رؤوس البيانات التي تحتوي على بيانات الاعتماد والتي تتطابق تمامًا مع السلسلة المكتوبة بأحرف صغيرة ”authorization“. ونتيجة لذلك، لا يتم إزالة الرؤوس الأخرى التي تحتوي على بيانات الاعتماد، مثل `PRIVATE-TOKEN` أو رؤوس `Authorization` التي تحتوي على أحرف كبيرة وصغيرة، وقد يتم إعادة توجيهها إلى وجهة إعادة توجيه عبر الأصول يسيطر عليها المهاجم، مما يؤدي إلى كشف بيانات الاعتماد. **التوصيات** قم بالتحديث إلى الإصدار 9.7.0.