Thureinoo

توجد ثغرة تسمح للمهاجم بتشغيل هجوم «البرمجة النصية عبر المواقع» (XSS) المخزنة عن طريق إنشاء ملف يحتوي اسمه على حمولة HTML. ويحدث ذلك عندما يتصفح المستخدم دليلًا يتم تقديمه باستخدام `MG ENABLE DIRLIST`. تقوم الدالة `printdirentry()`، التي يتم استدعاؤها بواسطة `listdir()` في `src/http.c`، بترميز عنوان href باستخدام URL، لكنها تُدرج اسم الملف الخام من نظام الملفات في نص رابط HTML. ونتيجة لذلك، يقوم المتصفح بتنفيذ العلامات المُحقنة في مصدر Mongoose، مما قد يؤدي إلى كشف بيانات الجلسة أو السماح بتنفيذ إجراءات نيابة عن الضحية.

توجد مشكلة في خادم الويب المدمج ومكتبة الشبكة، حيث يمكن للمهاجم الذي يتحكم في ملف يدعم SSI استخدام تسلسلات اجتياز الدلائل داخل ملف #include أو التوجيه الافتراضي #include. يحدث هذا لأن الدالة `mg ssi()` الموجودة في src/ssi.c تقوم بضم حجة التوجيه إلى مسار نظام الملفات دون استخدام الدالة `mg path is sane()`. ونتيجة لذلك، قد تؤدي عمليات النشر التي تستخدم MG ENABLE SSI مع نمط ssi pattern مُهيأ إلى الكشف عن ملفات يمكن لعملية Mongoose قراءتها.

يمكن لمهاجم عن بُعد غير مصدق إرساله طلب HTTP يحتوي على كل من رؤوس Content-Length و Transfer-Encoding: chunked. تقبل عمليات التحقق من `cl count` و `te count` داخل الدالتين `mg http parse()` و `http cb()` في src/http.c كلا الرؤوسين، لكنها تعطي الأولوية لترميز chunked. إذا كان الوكيل العكسي يفضل رأس Content-Length، يحدث عدم تزامن CL.TE، مما يسمح للمهاجم بحقن طلبات تصل إلى الموارد أو تعدلها في سياق مستخدم آخر. عدم التزامن CL.TE هو نوع من تهريب الطلبات حيث يختلف الخادمان الأمامي والخلفي حول المكان الذي ينتهي فيه الطلب.

يمكن لمهاجم عن بُعد إدراج حرف إرجاع عربة أو تغذية سطر منفرد في مدخلات متعددة الأجزاء تتم معالجتها بواسطة الدالة `mg http next multipart()` في src/http.c. تفشل المنطقية المستخدمة لمقارنة الأحرف في الحلقات بسبب شرط AND غير صحيح، مما يتسبب في توقف العملية عندما يشبه أي حرف جزءًا من مُنهي CRLF (إرجاع عربة وتغذية سطر). ينتج عن ذلك اقتطاع الحدود أو أسماء الملفات أو الرؤوس، مما قد يؤدي إلى قبول التطبيق لمحتوى ضار بالاعتماد على قيمة Content-Type مضللة.

توجد مشكلة في البرمجة النصية عبر المواقع (XSS) المنعكسة عند تمكين ميزة `MG ENABLE DIRLIST`. يمكن لمهاجم عن بُعد إرسال مسار طلب مُصمم خصيصًا ومشفّر بنسبة مئوية إلى مستخدم، ثم تتم معالجته بواسطة الدالتين `mg http serve dir()` و`listdir()` في `src/http.c`. تقوم هذه الدوال بوضع عنوان URI للطلب بعد فك تشفيره في عناصر HTML title و h1 دون تشفير كيانات HTML بشكل صحيح. وهذا يسمح بتنفيذ نصوص برمجية ضارة في مصدر Mongoose، مما قد يؤدي إلى كشف بيانات الجلسة أو السماح بتنفيذ إجراءات نيابة عن الضحية.

يمكن لمهاجم عن بُعد غير مصدَّق استغلال نشر بروكسي عكسي يعمل ببروتوكول HTTP/1.0 عن طريق إرسال طلب يتضمن `Transfer-Encoding: chunked` وتأطير متعارض. تحتوي الدالة `http cb()` في `src/http.c` على خطأ منطقي حيث تختبر `hm.proto.len` بشرط مستحيل وهو أن تكون القيمة أكبر من ثمانية، على الرغم من أن `mg http parse()` تتطلب سلسلة بروتوكول مكونة من ثمانية بايت. وهذا يمنع تعيين `is http 1 0`، مما يتسبب في قيام Mongoose بمعالجة الترميز المقسم إلى أجزاء (chunked encoding) الذي قد يتجاهله وكيل HTTP/1.0. يسمح هذا التناقض بتهريب الطلبات، مما قد يؤدي إلى وصول غير مصرح به أو تغييرات في الحالة.