Tndud042713

توجد مشكلة في تطبيع المدخلات غير السليمة حيث يفشل البرنامج في إعادة كتابة بادئة الطلب عندما يكون جزء البادئة مشفرًا برمز URL. وبينما يقوم الموجه بفك تشفير مسارات URL لمطابقة المسار، يحتفظ `request.url` بالشكل المشفر الأصلي، وتستخدم عملية إعادة الكتابة استبدالًا حرفيًا للسلسلة مقابل البادئة التي تم فك تشفيرها. يسمح عدم تطابق التشفير هذا لمهاجم بعيد بإرسال طلبات تحتوي على أحرف مشفرة برمز URL في البادئة المكونة، مما يتسبب في قيام الوكيل بمطابقة المسار ولكن تخطي إعادة الكتابة. ونتيجةً لذلك، يتم إعادة توجيه المسار المُشفَّر الخام إلى الخادم الأعلى، الذي يقوم بدوره بفك تشفير المسار وتقديمه. ويؤدي هذا إلى تجاوز كامل لمسار الوكيل، مما يعرض نقاط النهاية الداخلية أو الإدارية التي كان من المفترض إخفاؤها عبر تكوين `rewritePrefix`، مما قد يؤدي إلى إجراءات إدارية غير مصرح بها وكشف البيانات الحساسة.

عند تحليل رأس Set-Cookie، يقبل البرنامج أي قيمة لسمة SameSite تحتوي على Strict أو Lax أو None كسلسلة فرعية بدلاً من اشتراط تطابق تام غير حساس لحالة الأحرف كما هو محدد في RFC 6265. وهذا يسمح بتعيين القيم غير المطابقة للمواصفات إلى الرموز القياسية دون إشعار؛ على سبيل المثال، يتم تحليل SameSite=NoneOfYourBusiness على أنه None، ويتم تحليل SameSite=StrictLax على أنه Lax. يمكن لخادم ضار أو غير متوافق إجبار التطبيقات التي تستخدم رؤوس Set-Cookie عبر مسارات كود fetch أو الوكيل، وتعتمد على السمة `sameSite` التي تم تحليلها، على تطبيق سياسة SameSite أضعف، مما يؤدي إلى إضعاف تطبيق ملفات تعريف الارتباط المقصود.

يقوم محلل ملفات تعريف الارتباط في دالة `parseSetCookie` بفك تشفير قيم ملفات تعريف الارتباط المعبَّأة بنسبة مئوية باستخدام `qsUnescape`، الذي يحول التسلسلات المشفرة مثل %0D%0A و%00 و%3B و%3D إلى ما يعادلها من بايت حرفية. ويخالف هذا السلوك ما ورد في RFC 6265 §5.4 ومعايير المتصفحات، التي لا تحدد مثل هذا النوع من فك التشفير. التطبيقات التي تستخدم `parseSetCookie` أو `parseCookie` أو `getSetCookies` وتقوم بعد ذلك بإعادة توجيه هذه القيم التي تم تحليلها إلى رؤوس الاستجابة (مثل البروكسيات أو البرامج الوسيطة أو أطر عمل SSR) تكون عرضة لحقن رؤوس استجابة HTTP. وهذا يسمح لمصدر أعلى يتحكم فيه المهاجم بحقن رؤوس Set-Cookie أو Location أو Cache-Control تعسفية في الاستجابة النهائية، مما قد يؤدي إلى تثبيت الجلسة أو إعادة التوجيه المفتوح أو تسميم ذاكرة التخزين المؤقت.

توجد مشكلة رفض الخدمة (DoS) بسبب الطريقة التي تقوم بها التبعية `append-field` بتحليل الترميز بين الأقواس في أسماء الحقول ضمن بيانات النماذج متعددة الأجزاء. ونظرًا لعدم وجود حد لعمق التداخل، يمكن للمهاجم إرسال طلب HTTP واحد مع نص متعدد الأجزاء مصمم خصيصًا لإجبار النظام على تخصيص هياكل كائنات متداخلة بعمق، مما يؤدي إلى استهلاك مفرط لوحدة المعالجة المركزية (CPU) والذاكرة.

توجد مشكلة في التعقيد الزمني التربيعي في قاعدة smartquotes عند تمكين الخيار `typographer: true`. يمكن للمهاجم تقديم مدخلات ماركداون تحتوي على عدد كبير من علامات الاقتباس المتتالية، مما يتسبب في استهلاك المحلل لموارد وحدة المعالجة المركزية (CPU) بشكل مفرط ويؤدي إلى رفض الخدمة. يحدث هذا لأن الدالة `replaceAt()` الموجودة في `lib/rules core/smartquotes.mjs` تقوم بتعديل `token.content` باستخدام تقطيع السلسلة وتجميعها لكل حرف اقتباس يتم العثور عليه. ونظرًا لأن كل عملية تقطيع هي O(n) ويتم تنفيذها لكل حرف من حروف الاقتباس n، فإن التعقيد الإجمالي يصبح O(n^2).

توجد مشكلة حقن HTML في عملية العرض من جانب الخادم (SSR) لـ JSX. يمكن للمهاجمين حقن HTML غير مقصود باستخدام أسماء سمات مشوهة. من خلال صياغة مفاتيح سمات تتضمن أحرفًا مثل علامات الاقتباس أو الأقواس الزاوية، يمكن للمهاجم كسر حدود علامات HTML لحقن سمات أو عناصر عشوائية.

An SMTP command injection issue exists in the transport `name` configuration option used in EHLO, HELO, and LHLO commands. The `name` parameter is concatenated directly into SMTP commands without sanitizing carriage return and line feed (CRLF) characters. An attacker capable of influencing this option can inject arbitrary SMTP commands, enabling unauthorized email sending, email spoofing, and phishing attacks. This occurs within the `lib/smtp-connection/index.js` file during connection initialization, where the ` sendCommand()` function writes the string directly to the socket.

Happy DOM هو تطبيق JavaScript لمتصفح ويب بدون واجهة المستخدم الرسومية. تحتوي الإصدارات من 15.10.0 إلى 20.8.7 على مشكلة حقن كود في مكون `ECMAScriptModuleCompiler`. وهذا يسمح للمهاجم بتنفيذ كود عن بُعد (RCE) عن طريق حقن تعبيرات JavaScript عشوائية داخل إعلانات `export { }` في نصوص وحدات ES التي يعالجها happy-dom. يقوم المُجمِّع بإدراج المحتوى غير المُعقَّم مباشرةً في الكود المُولَّد كتعبير قابل للتنفيذ. ولا يقوم مرشح علامات الاقتباس بإزالة علامات الارتداد (backticks)، مما يسمح للحمولات القائمة على القوالب الحرفية بتجاوز عملية التعقيم.