Tikket1

توجد مشكلة في إلغاء التسلسل غير الآمن، وتحديداً حقن كائنات PHP، أثناء معالجة عوامل تصفية القطاعات وخصائص الحقول المخصصة. تقوم بعض مسارات الكود بإلغاء تسلسل القيم المخزنة في قاعدة البيانات دون تقييد فئات PHP التي يمكن إنشاؤها، متجاوزةً بذلك مساعد إلغاء التسلسل الآمن الخاص بـ Mautic. يمكن للمهاجم الذي يتمتع بصلاحيات عالية أو القدرة على الكتابة في البيانات المخزنة المتأثرة حقن قيم متسلسلة مصممة خصيصاً. عندما يقوم Mautic بمعالجة هذه البيانات أثناء تقييم القطاعات، أو تصدير جهات الاتصال، أو طلبات API للحقول المخصصة، يتم إنشاء كائنات PHP عشوائية. وباستخدام سلاسل الأدوات (gadget chains)—وهي تسلسلات من قطع الكود الموجودة التي يمكن استغلالها لأغراض غير مقصودة—ضمن التبعيات، قد يؤدي ذلك إلى تنفيذ كود عشوائي على الخادم، أو الوصول غير المصرح به إلى بيانات جهات الاتصال أو تعديلها أو حذفها، وتعطيل الخدمة.

An issue exists where webhook destinations are validated only during registration and not during use. The `NoInternalUrlRule` function in `backend/app/Validators/Rules/NoInternalUrlRule.php` uses `gethostbyname()` to reject private and reserved IP ranges, but public hostnames are permitted. During dispatch, the `WebhookDispatchService` utilizes the stored URL via `spatie/laravel-webhook-server` without re-validating the destination. Because `backend/config/webhook-server.php` does not configure Guzzle options, redirect following is enabled by default. This allows a destination to redirect the server to a loopback, private, or cloud metadata address, or allows an attacker to change a DNS record after registration to achieve the same result. The `WebhookResponseHandlerService` stores the response body in the webhook log, which is then exposed via the `WebhookLogResource` endpoint, allowing the requester to read responses from internal services. This affects both event and organizer webhooks.

The app-store plugin service fails to sanitize the `identifier` variable before concatenating it into file system paths. This allows an attacker to use path traversal sequences, such as `../`, to read, install, or uninstall plugins from arbitrary directories. This issue occurs within the `download()`, `install()`, and `unInstall()` functions in the `plugin/mine-admin/app-store/src/Service/Service.php` file. Furthermore, the `install()` function may execute arbitrary composer commands on the traversed directories. The affected API endpoints include `/admin/plugin/store/install`, `/admin/plugin/store/download`, and `/admin/plugin/store/uninstall`.

يمكن للمستخدمين المصادق عليهم تنفيذ هجوم تزوير الطلبات من جانب الخادم (SSRF) عن طريق إرسال عناوين URL مُعدَّلة خصيصًا. تحدث هذه المشكلة داخل الدالة `fetch url()` في فئة `ScenarioImport`، مما يسمح للمهاجمين بإجراء طلبات HTTP تعسفية. ويمكن استغلال ذلك لاستكشاف خدمات الشبكة الداخلية، وتعداد المنافذ من خلال توقيعات الأخطاء، والوصول إلى نقاط نهاية البيانات الوصفية السحابية لاسترداد بيانات الاعتماد الحساسة.

تتجاوز ثلاثة مسارات برمجية إجراءات الحماية الحالية ضد تزوير الطلبات من جانب الخادم (SSRF) باستخدام `http.Get()` الخام بدلاً من أداة الاتصال `hostmatcher.NewDialContext()` التي تم التحقق من صحتها. وهذا يسمح للمهاجم بإرسال طلبات إلى الخدمات الداخلية، ومسح الشبكات الداخلية (مثل `127.0.0.1`، `10.x`، و`172.16-31.x`، و`192.168.x`)، وسرقة البيانات الوصفية السحابية من نقاط النهاية مثل `169.254.169.254` (على سبيل المثال، بيانات اعتماد AWS IMDSv1 أو رموز GCP). بالإضافة إلى ذلك، فإن استخدام مخطط `file://` في الدالة `Open()` يتيح قراءة الملفات المحلية، مما قد يؤدي إلى كشف ملفات حساسة مثل `/etc/gitea/app.ini` التي قد تحتوي على بيانات اعتماد قاعدة البيانات وأسرار توقيع JWT. تؤثر هذه المشكلة على المكونات التالية: - الدالة `Open()` في `modules/uri/uri.go`. - عمليات تنزيل ملفات الإصدارات والتصحيحات في `services/migrations/gitea uploader.go` و`services/migrations/dump.go`. - الدالة `oauth2UpdateAvatarIfNeed()` في `routers/web/auth/oauth.go`.

تفتقر نقطة نهاية «invoice/update» في واجهة برمجة تطبيقات الضيف (Guest API) إلى فحص المصادقة. وهذا يسمح لمستخدم غير مصدق عليه يمتلك تجزئة فاتورة بتعديل بوابة الدفع الخاصة بفاتورة غير مدفوعة عن طريق تغيير المتغير `gateway id` إلى أي بوابة دفع تم تكوينها مسبقًا في النظام. قد يتم الكشف عن تجزئات الفواتير من خلال روابط البريد الإلكتروني أو رؤوس المراجع أو عناوين URL المشتركة. ويكون التأثير محدودًا بفضل إعداد النظام `invoice accessible from hash` وشرط أن تكون البوابة قد تم تثبيتها مسبقًا بواسطة مسؤول النظام.

توجد ثغرة حقن SQL في وظيفة التصفية الخاصة بوحدة `Massmailer`. يمكن للمسؤول المصادق عليه إدخال قيم تصفية مُعدة خصيصًا أثناء تحديث رسالة بريد إلكتروني جماعية، مما يسمح بإدراج مدخلات غير موثوق بها مباشرةً في استعلام SQL لاختيار المستلمين.

Coolify هي أداة مفتوحة المصدر وقابلة للاستضافة الذاتية لإدارة الخوادم والتطبيقات وقواعد البيانات. لا يقتصر نطاق البحث عن الخوادم والمشاريع على الفريق الحالي، مما يسمح لأي مستخدم تمت مصادقته بالوصول إلى الخوادم والمشاريع التابعة لفرق أخرى عن طريق تحديد معرّفاتها مباشرةً.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Hi.Events من 0.8.0-beta.1 حتى 1.7.1-beta الوصف Hi.Events هي منصة مفتوحة المصدر لإدارة الفعاليات وبيع التذاكر. تقوم عدة فئات في المستودع بتمرير معلمة الاستعلام `sort by` التي يزودها المستخدم مباشرةً إلى دالة `orderBy()` في Eloquent دون التحقق من صحتها، مما يتيح إمكانية إجراء حقن SQL. يستخدم التطبيق قاعدة بيانات PostgreSQL التي تدعم الاستعلامات المتراكبة. التوصيات التحديث إلى الإصدار 1.7.1-beta أو أحدث.