Tenbbughunters

توجد مشكلة في واجهات برمجة تطبيقات (API) تصفية المحادثات وجهات الاتصال، حيث يتم إدراج القيم التي يقدمها المستخدم في حقل `values` لحمولة التصفية مباشرةً في استعلامات SQL دون تحديد المعلمات عند التصفية حسب سمات مخصصة من نوع التاريخ أو الرقم باستخدام عوامل التشغيل `is greater than` أو `is less than`. وهذا يسمح للمستخدم المصادق عليه الذي لديه حق الوصول إلى الحساب بتنفيذ أوامر SQL تعسفية عبر الحقن الأعمى القائم على الوقت. تشمل نقاط النهاية المتأثرة ’/api/v1/accounts/{account id}/conversations/filter‘ و'/api/v1/accounts/{account id}/contacts/filter' و'/api/v1/accounts/{account id}/custom attribute definitions'.

يحدث تجاوز المسار (path traversal) في تطبيقات تخزين المتجهات Faiss وSimpleStore. تنشأ المشكلة عندما يقبل النظام معلمات `basePath` غير المُعقمة من مستخدمين تمت مصادقتهم. يمكن للمهاجمين الذين يمتلكون رموز API صالحة كتابة بيانات مخزن المتجهات في مواقع عشوائية على نظام الملفات، مما قد يؤدي إلى تسريب البيانات أو تنفيذ التعليمات البرمجية.

تقوم عقدة GraphCypherQAChain بإعادة توجيه المدخلات التي يقدمها المستخدم مباشرةً إلى مسار تنفيذ استعلامات Cypher دون إجراء عملية تنقية مناسبة. وهذا يسمح للمهاجم بحقن أوامر Cypher تعسفية يتم تنفيذها على قاعدة بيانات Neo4j الأساسية، مما قد يؤدي إلى تسريب البيانات أو تعديلها أو حذفها أو اكتشاف مخطط البيانات. تحدث المشكلة داخل الدالة `run()` في ملف `GraphCypherQAChain.ts`، حيث يتم تمرير المتغير `query` إلى السلسلة دون إجراء عملية الهروب. يتطلب استغلال هذه الثغرة الوصول إلى نقطة نهاية التنبؤ ’/api/v1/prediction/{flowId}‘.

يوجد في Flowise مشكلة تتمثل في إضافة نقطة نهاية جهاز التوجيه NVIDIA NIM (’/api/v1/nvidia-nim/*‘) بشكل غير صحيح إلى القائمة البيضاء في البرمجيات الوسيطة للمصادقة العامة. وقد سمح ذلك بالوصول غير المصادق عليه إلى نقاط نهاية حساسة تتعلق بإدارة الحاويات وإنشاء الرموز المميزة. وعلى وجه التحديد، تنشأ المشكلة عن إعداد في ملف `packages/server/src/utils/constants.ts`، حيث تم تضمين مسار NVIDIA NIM في القائمة البيضاء للمصادقة، متجاهلاً التحقق من صحة JWT/مفتاح API. تشمل نقاط النهاية المتأثرة تلك الخاصة بالحصول على رموز NVIDIA API، وإدارة دورة حياة الحاويات (التشغيل، الإيقاف، سحب الصور)، واسترداد معلومات الحاوية. يمكن للمهاجم استغلال ذلك لتسريب رموز NVIDIA API صالحة، والتلاعب بوقت تشغيل الحاوية، وربما التسبب في رفض الخدمة. يمنح رمز API الخاص بـ NVIDIA الوصول إلى واجهة برمجة تطبيقات الاستدلال الخاصة بـ NVIDIA، ويمكنه سرد أكثر من 170 نموذجًا لغويًّا ضخمًا.

توجد مشكلة تتعلق بتسرب المعلومات في نقطة النهاية ’POST /api/v1/account/forgot-password‘. يمكن للمهاجمين غير المصادق عليهم حصر عناوين البريد الإلكتروني الصالحة وجمع البيانات الحساسة للمستخدمين، بما في ذلك المعلومات الشخصية (PII)، ومعرفات المستخدمين، والأسماء، وحالة الحساب، والطوابع الزمنية، عن طريق إرسال طلبات باستخدام عناوين بريد إلكتروني معروفة. ويحدث ذلك لأن نقطة النهاية تعرض كائنات المستخدم الكاملة.

يحتوي Nginx UI على ثغرة خطيرة تتيح الوصول إلى نقطة النهاية `/api/backup` دون مصادقة. عند الوصول إلى نقطة النهاية هذه عبر طلب GET، يقدم الخادم نسخة احتياطية كاملة للنظام ويكشف عن مفاتيح التشفير AES-256 (المفتاح وIV) المطلوبة لفك تشفير النسخة الاحتياطية ضمن رأس الاستجابة `X-Backup-Security`. وهذا يسمح لمهاجم بعيد غير مصادق عليه بتنزيل البيانات الحساسة وفك تشفيرها على الفور، بما في ذلك بيانات اعتماد المستخدمين ورموز الجلسات والمفاتيح الخاصة لـ SSL وتكوينات Nginx. تعود جذور المشكلة إلى الدالة `CreateBackup()` الموجودة في `api/backup/router.go` و`api/backup/backup.go`، حيث تفتقر مسار النسخ الاحتياطي إلى برمجيات وسيطة للمصادقة. تم تحديد ما يقرب من 500 مثيل نشط في قطاع RuNet، مع احتمال تأثر 35% منها.

Gradio هو حزمة Python مخصصة لإنشاء النماذج الأولية بسرعة. تتعامل التطبيقات غير المستضافة على Hugging Face Spaces، من الإصدارات 4.16.0 إلى 6.5.9، بشكل غير صحيح مع مكونات OAuth مثل `gr.LoginButton`. يؤدي الوصول إلى نقطة نهاية واجهة برمجة التطبيقات (API) `/login/huggingface` إلى تشغيل عملية يقوم فيها الخادم باسترداد رمز الوصول الخاص بك إلى Hugging Face وتخزينه في ملف تعريف ارتباط الجلسة. يمكن للمهاجمين عن بُعد فك تشفير ملف تعريف الارتباط هذا، الموقّع بسر مدمج (`”-v4“`)، مما قد يؤدي إلى سرقة بيانات الاعتماد. تحدث هذه الثغرة الأمنية عندما يكون التطبيق متاحًا عبر شبكة.

يحتوي Gogs، وهو خدمة Git ذاتية الاستضافة، على ثغرة أمنية حيث لا تتحقق واجهة برمجة التطبيقات (API) `DeleteComment` بشكل صحيح مما إذا كان التعليق ينتمي إلى المستودع المحدد في عنوان URL. وهذا يسمح لمسؤول المستودع بحذف تعليقات من أي مستودع آخر عن طريق توفير معرّفات تعليقات عشوائية، مما يؤدي فعليًّا إلى التحايل على ضوابط التفويض. تسترد وظيفة `DeleteComment` تعليقًا باستخدام المعرّف دون التحقق من ملكية المستودع، كما أن وظيفة `DeleteCommentByID` في `Database` لا تقوم بالتحقق من المستودع. نقطة نهاية واجهة برمجة التطبيقات (API) المعرضة للثغرة هي `/owner/repo/issues/comments/:id/delete`. المعلمة المعرضة للثغرة هي `:id`، والتي تمثل معرّف التعليق.