Uglory

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات ESAPI esapi-java-legacy الأقدم من 2.7.0.0 الوصف: تم اكتشاف ثغرة أمنية في واجهة `Encoder.encodeForSQL` الخاصة بـ «الدفاع ضد حقن SQL»، مما يؤدي إلى معالجة غير ملائمة للعناصر الخاصة. يمكن شن الهجوم عن بُعد. تؤثر هذه المشكلة على «الدفاع ضد حقن SQL»، مما يتيح إمكانية الاستغلال. وقد تعامل المشروع مع هذه المشكلة بشكل احترافي بعد الاتصال به. التوصيات: بالنسبة للإصدارات الأقدم من 2.7.0.0، قم بالتحديث إلى الإصدار 2.7.0.0 لإصلاح هذه المشكلة. كحل مؤقت، يُنصح بتعطيل واجهة `Encoder.encodeForSQL` حتى يتم تطبيق التحديث.

تم اكتشاف ثغرة أمنية في quequnlong shiyi-blog، تؤثر على وظيفة غير معروفة في الملف ”/dev-api/api/comment/add“. يؤدي التلاعب بالمعلمة `content` إلى حدوث هجوم برمجة عبر المواقع (cross-site scripting). يمكن تنفيذ الهجوم عن بُعد.

تم اكتشاف ثغرة أمنية خطيرة في مكون الخلفية (Backend) الخاص بالمسؤول، وتحديدًا في نقطة النهاية `/api/sys/user/verifyPassword/`، مما يؤثر على وظيفة غير معروفة. يؤدي ذلك إلى مصادقة غير سليمة ويمكن استغلالها عن بُعد. تم الإعلان عن هذه الثغرة أمنية علنًا.

تم اكتشاف ثغرة خطيرة في quequnlong shiyi-blog، تؤثر على بعض عمليات المعالجة غير المعروفة للملف `/dev api/app/album/photos/`. ويؤدي ذلك إلى خلل في عملية المصادقة، ويمكن شن الهجوم عن بُعد.

تم اكتشاف ثغرة خطيرة في كود غير معروف بملف /app/sys/article/optimize. يؤدي التلاعب بالمعلمة `url` إلى تزوير الطلبات من جانب الخادم. يمكن شن الهجوم عن بُعد. تم الكشف عن هذه الثغرة للجمهور وقد يتم استغلالها. تم الاتصال بالمورد في وقت مبكر بشأن هذا الكشف، لكنه لم يرد.

تم اكتشاف ثغرة أمنية حرجة تؤثر على جزء غير معروف من الملف /api/file/upload. يؤدي التلاعب بالمعلمة `file/source` إلى اختراق المسار. يمكن استغلال هذه الثغرة عن بُعد. وقد تم الإعلان عن تفاصيل هذه الثغرة الأمنية للجمهور.

تم اكتشاف ثغرة أمنية في ContiNew Admin، تتيح تغيير كلمة المرور دون التحقق. تؤثر المشكلة على وظيفة غير معروفة في الملف ”/dev-api/system/user/1/password“. يمكن استغلال هذه الثغرة عن بُعد. تم الاتصال بالمورد بشأن هذا الإفصاح، لكنه لم يرد.

تم تحديد مشكلة في ContiNew Admin تؤثر على وظيفة غير معروفة في الملف /dev-api/common/file. يؤدي التلاعب بالمعلمة `File` إلى حدوث هجوم عبر المواقع (Cross-Site Scripting). يمكن تنفيذ الهجوم عن بُعد. تم الإعلان عن هذه المشكلة علنًا.

تم اكتشاف ثغرة أمنية خطيرة في itwanger paicoding، تؤثر على جزء غير معروف من الملف ”/article/api/post“ التابع لمكون Article Handler. تؤدي معالجة الوسيطة `articleId` إلى تفويض غير مناسب. يمكن شن الهجوم عن بُعد. تم الكشف عن الاستغلال علنًا ويمكن استخدامه.

تم اكتشاف ثغرة أمنية في مكون Browsing History Handler، تؤثر على وظيفة غير معروفة في الملف ”/user/home?userId=1&homeSelectType=read“. يؤدي استغلال هذه الثغرة إلى تسريب المعلومات. يمكن تنفيذ الهجوم عن بُعد.

تم اكتشاف ثغرة أمنية في البرنامج، تم تصنيفها على أنها مشكلة. وهي تؤثر على وظيفة غير معروفة في الملف ”/article/app/post“. يؤدي التلاعب بالمعلمة `content` إلى حدوث هجوم عبر المواقع (cross-site scripting). يمكن تنفيذ الهجوم عن بُعد.

تم اكتشاف ثغرة أمنية في مكون تحميل الملفات، تؤثر على معالجة الملف `/common/upload/batch`. يؤدي التلاعب بالمعلمة `File` إلى حدوث هجوم برمجة عبر المواقع (cross-site scripting). يمكن شن الهجوم عن بُعد.

تم اكتشاف ثغرة أمنية في مكون تحميل الملفات، تؤثر بشكل خاص على الملف /common/upload. يؤدي التلاعب بالمعلمة `File` إلى حدوث هجوم عبر المواقع (Cross-Site Scripting). يمكن شن الهجوم عن بُعد.

تم اكتشاف مشكلة في مكون «Admin Password Handler»، تؤثر على جزء غير معروف من الملف /core/admin/pwd. يؤدي التلاعب بالمعلمة `ID` إلى خلل في ضوابط الوصول، مما يتيح شن هجمات عن بُعد. وقد تم الكشف عن هذه المشكلة علنًا.

تم اكتشاف مشكلة خطيرة في مكون واجهة تحميل المواد (Material Upload Interface)، تؤثر بشكل خاص على وظيفة غير معروفة في الملف /admin-api/mp/material/upload-news-image. يؤدي التلاعب بالمعلمة `File` إلى اختراق المسار (path traversal). يمكن استغلال هذه المشكلة عن بُعد.

تم تحديد مشكلة في مكون «واجهة تحميل المواد»، مما يؤثر على معالجة الملف `/admin-api/mp/material/upload-temporary`. يؤدي التلاعب بالمعلمة `File` إلى حدوث اختراق المسار (Path Traversal). يمكن استغلال هذه المشكلة عن بُعد.

توجد ثغرة أمنية خطيرة في zhijiantianya ruoyi-vue-pro الإصدار 2.4.1 تتعلق بـ «عبور المسار» (path traversal). تقع هذه الثغرة في الملف `/admin-api/mp/material/upload-permanent` داخل مكون Material Upload Interface. ويتيح التلاعب بالمعلمة `File` الاستغلال عن بُعد. وقد تم نشر أداة الاستغلال الخاصة بهذه الثغرة علنًا.

تم اكتشاف ثغرة أمنية خطيرة في واجهة تحميل الملفات في الخلفية (Backend) لبرنامج zhijiantianya ruoyi-vue-pro. تؤثر هذه الثغرة على جزء غير معروف من الملف ”/admin-api/infra/file/upload“ وتسمح بعبور المسار (path traversal) من خلال التلاعب بالمعلمة `path`. يمكن شن الهجوم عن بُعد. تم الكشف عن الاستغلال علنًا ويمكن استخدامه. تم الاتصال بالمورد مسبقًا بشأن هذا الكشف، لكنه لم يرد.

تم تحديد مشكلة حرجة في الملف /app-api/infra/file/upload التابع لمكون Front-End Store Interface. تؤدي معالجة الوسيطة `path` إلى اختراق المسار (path traversal). يمكن شن الهجوم عن بُعد. تم الكشف عن الثغرة علنًا ويمكن استغلالها. تم الاتصال بالمورد مسبقًا بشأن هذا الكشف، لكنه لم يرد.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: aitangbao springboot-manager الإصدار 3.0 الوصف: تم تحديد ثغرة أمنية في كود الملف /sys/dept، مما يسمح بهجمات Cross-Site Scripting من خلال التلاعب بالمعلمة `name`. يمكن شن الهجوم عن بُعد. قد تتأثر معلمات أخرى أيضًا. تم الاتصال بالمورد بشأن هذا الإفصاح، لكنه لم يرد. التوصيات: بالنسبة لـ aitangbao springboot-manager الإصدار 3.0، كإجراء مؤقت، يُنصح بتقييد الوصول إلى الملف /sys/dept حتى يتوفر تصحيح. تجنب استخدام المعلمة `name` في نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة حتى يتم حل المشكلة. لا توجد حاليًا أي معلومات حول إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.