Therawdev

تحتوي ثلاثة مكونات إدارية في Livewire على ثغرات في التفويض تسمح لموظف يمتلك فقط صلاحيات `view users` و `access dashboard` بتنفيذ إجراءات مميزة. يتيح هذا التفويض غير الصحيح للمهاجم تصعيد امتيازاته عن طريق منح صلاحيات عشوائية لدوره، أو إنشاء حساب مسؤول جديد بكلمة مرور مختارة، أو حذف الأدوار وتعريفات الصلاحيات، مما يؤدي إلى حجب الخدمة في نظام التحكم في الوصول القائم على الأدوار (RBAC). التفاصيل الفنية للمكونات المتأثرة هي كما يلي: - في `packages/admin/src/Livewire/Components/Settings/Team/Permissions.php` ، تقوم الدالتان `togglePermission()` و `removePermission()` بتفويض صلاحية `view users` بشكل خاطئ بدلاً من صلاحية `access setting` المطلوبة. بالإضافة إلى ذلك، يقوم الملف `packages/admin/resources/views/livewire/components/settings/team/permissions.blade.php` بكشف معرفات الصلاحيات في معالجات `wire:click`. - في `packages/admin/src/Livewire/SlideOvers/CreateTeamMember.php` ، تقبل الدالتان `mount()` و `store()` صلاحية `view users` ، مما يسمح بإنشاء مسؤول تم التحقق منه مسبقاً عبر المتغير `role id`. - في `packages/admin/src/Livewire/Pages/Settings/Team/RolePermission.php` ، تفتقر الدالة `deleteAction` إلى تفويض الإجراء وتتحقق فقط مما إذا كان يمكن إزالة الدور، بينما يتم منح الوصول إلى الصفحة عبر `view users`.

يوجد عيب في مسار معاينة ملفات ماركداون. تستخدم الدالة `generateMarkdownHtml()` (الموجودة في `client/src/utils/markdown.ts`) عارض صور مخصصًا يؤدي إلى اللجوء إلى العارض الافتراضي للمكتبة المحددة (v15.0.12) عندما تجتاز عناوين URL فحص قائمة السماح `isSafeUrl`. يفشل هذا العارض الافتراضي في تحويل أحرف الاقتباس المزدوج إلى رموز HTML داخل النص البديل للصورة. يمكن للمهاجم استغلال هذه الثغرة عن طريق صياغة نص بديل يحتوي على علامات الاقتباس المزدوجة ومعالجات الأحداث، مثل `” onload=“payload`، للخروج من السمة وتنفيذ نصوص برمجية تعسفية في متصفح الضحية عبر خاصية `innerHTML` لعنصر المحتوى داخل إطار iframe الخاص بمعاينة Sandpack.

يمكن لمستخدم Subsonic المصادق عليه تجاوز عمليات التحقق من الملكية لقراءة أو حذف قوائم التشغيل الخاصة بمستخدمين آخرين، واستكشاف مسارات ملفات عشوائية على المضيف للتحقق من وجودها أو إمكانية قراءتها. يحدث هذا لأن `playlist.UserID` مشتق من الجزء الأول من مسار معرف قائمة التشغيل، ولكن لا يوجد احتواء للمسار في مسار الملف الذي تم تحليله. تتضمن المشكلة اجتياز المسار داخل المعلمة `id`، مما يسمح بتجاوز الحدود المقصودة لمنع الإشارات المباشرة غير الآمنة إلى الكائنات (IDOR)، وهي ثغرة أمنية تتيح للتطبيق الوصول المباشر إلى الكائنات بناءً على المدخلات التي يقدمها المستخدم.

تفتقر نقاط نهاية واجهة برمجة تطبيقات Subsonic ’/rest/deletePlaylist.view‘ و ’/rest/getPlaylist.view‘ إلى آلية المصادقة لكل مورد على حدة. يمكن للمستخدم المصادق عليه، بغض النظر عن مستوى امتيازاته، حذف أي قائمة تشغيل أو قراءة المحتوى الكامل (الاسم والتعليق وقائمة الأغاني) لأي قائمة تشغيل خاصة تابعة لمستخدم آخر، بما في ذلك المسؤولون، من خلال تقديم معرّف (id) قائمة التشغيل. يتم إنشاء معرّف (id) قائمة التشغيل باستخدام `base64url(”<userID>/<filename>.m3u“)`. ونظرًا لأن `userID` هو عدد صحيح صغير وأسماء الملفات إما مقدمة من المستخدم أو مشتقة من الوقت، فإن هذه المعرفات يمكن تخمينها أو ربما تكون قد تم الكشف عنها مسبقًا، مما يسمح للمستخدمين ذوي الامتيازات المنخفضة بحذف قوائم التشغيل الخاصة بالمسؤولين أو استخراج البيانات الخاصة.

يسمح خطأ منطقي في الدالة `ServeCreateOrUpdatePlaylist()` بإجراء عمليات كتابة ملفات عشوائية داخل خادم بث الموسيقى.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات FreeScout السابقة للإصدار 1.8.212 الوصف لا يأخذ برنامج FreeScout — وهو نظام لمكتب المساعدة وصندوق بريد مشترك تم تطويره باستخدام إطار عمل Laravel الخاص بلغة PHP — المعلمة `limit user customer visibility` في الاعتبار بشكل صحيح عند دمج العملاء في الإصدارات السابقة للإصدار 1.8.212. التوصيات قم بالتحديث إلى الإصدار 1.8.212 أو أحدث.