Tarek Nakkouch

Missing authorization in Visual Studio Code allows an unauthorized attacker to disclose information over a network.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Django من 6.0 إلى 6.0.3، ومن 5.2 إلى 5.2.12، ومن 4.2 إلى 4.2.29 الوصف يسمح مكون `ASGIRequest` لمهاجم عن بُعد بتزوير الرؤوس بسبب التعيين الغامض لمتغيرات الرؤوس (التي تحتوي على واصلات أو خطوط سفلية) إلى إصدار واحد يحتوي على خطوط سفلية. التوصيات التحديث إلى إصدار Django 6.0.4 أو أحدث. التحديث إلى إصدار Django 5.2.13 أو أحدث. التحديث إلى إصدار Django 4.2.30 أو أحدث.

توجد حالة تنافس في الخلفيات الخاصة بنظام الملفات والتخزين المؤقت القائم على الملفات في Django. قد تؤدي هذه الحالة إلى إنشاء كائنات نظام الملفات ذات أذونات غير صحيحة عند معالجة الطلبات المتزامنة في بيئات متعددة الخيوط. وعلى وجه التحديد، قد يؤثر التغيير المؤقت في `umask` الذي تقوم به إحدى الخيوط على الخيوط الأخرى، مما يؤدي إلى أذونات ملفات غير مقصودة. قد تتأثر أيضًا إصدارات Django السابقة وغير المدعومة (مثل 5.0.x و4.1.x و3.2.x).

يحتوي البرنامج على ثغرة أمنية تتعلق بحقن الأوامر بسبب عدم معالجة العناصر الخاصة المستخدمة في الأوامر بشكل صحيح. قد يؤدي الاستغلال الناجح لهذه الثغرة إلى تمكين المهاجم المصرح له من رفع امتيازاته عبر الشبكة. تتعلق المشكلة بخلل في تنقية البيانات على مستوى الإدارة. قد يسمح الاستغلال لمهاجم عن بُعد برفع امتيازاته.

ثغرة في تنفيذ `RasterField` في GeoDjango، وتحديدًا عند استخدام خلفية PostGIS، تسمح للمهاجمين عن بُعد بتنفيذ حقن SQL. تحدث المشكلة لأن البرنامج يفشل في تحديد معلمات مؤشر النطاق بشكل صحيح أثناء معالجة البحث عن الصور النقطية، مما يسمح بدمج المدخلات التي يقدمها المستخدم مباشرةً في استعلامات SQL. وقد يؤدي ذلك إلى الكشف غير المصرح به عن المعلومات، أو تغيير البيانات، أو رفض الخدمة، أو احتمال تنفيذ التعليمات البرمجية عن بُعد على مضيفات قواعد البيانات. تشير الحوادث الفعلية إلى أن هذه المشكلة قد تم استغلالها بشكل نشط في هجمات موجهة ضد منصات الخرائط وخدمات تحديد المواقع وتطبيقات التحليلات الجغرافية المكانية. يتم تشغيل الثغرة الأمنية عبر معلمة مؤشر `band` أثناء عمليات البحث عن الصور النقطية.