Tronglinh23

يمكن لمستخدم غير مصدق الوصول إلى نقطة النهاية العامة ”objects/plugins.json.php“ لقراءة `APISecret` من المكون الإضافي `object data`. يمكن بعد ذلك استخدام هذا السر لمصادقة الطلبات الموجهة إلى نقطة نهاية واجهة برمجة التطبيقات (API) المحمية ”plugin/API/get.json.php“ عن طريق توفيره عبر المعلمة `APISecret`، مما يسمح بالوصول غير المصرح به إلى البيانات المحمية مثل `users list` عبر المعلمة `APIName`.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Vite من 6.0.0 إلى 6.4.1، و7.3.2، و8.0.5 الوصف كان برنامج Vite، وهو إطار عمل لأدوات الواجهة الأمامية بلغة JavaScript، يعاني من ثغرة أمنية تتمثل في عدم تطبيق فحص `server.fs` على طريقة `fetchModule` المتاحة عبر WebSocket لخادم التطوير الخاص بـ Vite. إذا أمكن إنشاء اتصال بـ WebSocket الخاص بخادم التطوير لـ Vite بدون رأس Origin، فيمكن للمهاجم استدعاء `fetchModule` عبر حدث WebSocket المخصص `vite:invoke` ودمج `file://...` مع `?raw` (أو `?inline`) لاسترداد محتويات ملفات عشوائية على الخادم كسلسلة JavaScript. لم يتم تطبيق ضوابط الوصول المفروضة في مسار طلب HTTP على مسار التنفيذ هذا القائم على WebSocket. وقد يؤدي ذلك إلى الكشف عن ملفات عشوائية على الخادم، بما في ذلك تلك الموجودة في جهاز التطوير أو بيئة التكامل المستمر (CI) أو الحاوية. التوصيات تحديث Vite إلى الإصدار 6.4.2 أو أحدث، أو 7.3.2، أو 8.0.5.