Urianpaul94

قام Pi بتحميل التكوين والموارد المحلية للمشروع من دليل `.pi` الخاص بالمستودع، بما في ذلك وحدات TypeScript أو JavaScript القابلة للتنفيذ والمعروفة باسم ملحقات المشروع المحلية، دون مطالبة المستخدم بالثقة في المستودع. ونظرًا لأن الملحقات لا تعمل في بيئة معزولة (sandbox) وتُشغَّل ضمن عملية Pi، فإن المهاجم الذي يتحكم في المستودع يمكنه تنفيذ تعليمات برمجية تعسفية بنفس امتيازات عملية Pi المحلية إذا قام المستخدم بتشغيل Pi من شجرة العمل تلك. وهذا يتيح الوصول إلى الملفات ومتغيرات البيئة وبيانات الاعتماد والشبكة والأدوات المحلية المتاحة للمستخدم. تكمن المشكلة في مسار تحميل موارد المشروع، حيث تم تحميل ملف `.pi/settings.json` والموارد المكتشفة تلقائيًا والموارد المدارة بواسطة الحزم وملفات تعليمات المشروع أثناء تهيئة الجلسة قبل إنشاء حدود الثقة.

تسمح حالة التنافس في مسار كتابة الملف الخاص بتنفيذ تخزين بيانات الاعتماد بإنشاء ملف `auth.json` — الذي يخزن مفاتيح واجهة برمجة التطبيقات (API) ورموز الوصول والتحديث الخاصة بـ OAuth — أو إعادة كتابته باستخدام أذونات مستمدة من قناع الأمان (umask) الخاص بالعملية قبل تقييده بأذونات المالك فقط. يمكن للمستخدم المحلي الذي يتمتع بحق الوصول للقراءة والتنقل في دليل تكوين وكيل Pi قراءة الملف خلال الفترة الفاصلة بين كتابة الملف وتصحيح الأذونات. لا يمكن استغلال هذه المشكلة عن بُعد وتتطلب وصولاً محلياً إلى الجهاز.

Pi هو أداة برمجة بسيطة تعمل عبر المحطة الطرفية (terminal) وتستخدم مسارات يمكن التنبؤ بها ضمن الدليل المؤقت لنظام التشغيل لتثبيت حزم الإضافات المؤقتة لـ npm أو git. في الأنظمة متعددة المستخدمين القائمة على Linux والتي تحتوي على أدلة مؤقتة مشتركة، يمكن لمهاجم محلي إنشاء موقع الحزمة المتوقع مسبقًا. وعندما يقوم الضحية بتشغيل Pi باستخدام مصدر حزمة إضافات مؤقتة عبر علامتي `--extension` أو `-e`، قد يقوم البرنامج بتحميل كود الإضافة الذي يتحكم فيه المهاجم ضمن عملية المستخدم الضحية. يحدث هذا لأن مسارات الجذر المؤقتة لتثبيت npm و git clone كانت حتمية وتقع ضمن `os.tmpdir()/pi-extensions`. ونظرًا لأن الإضافات تُنفَّذ بنفس الامتيازات التي تتمتع بها العملية التي تستدعيها، فقد يؤدي ذلك إلى تنفيذ تعليمات برمجية تعسفية أو فقدان البيانات أو رفض الخدمة. تؤثر هذه المشكلة بشكل أساسي على البيئات المشتركة مثل برامج تشغيل CI وعقد تسجيل الدخول HPC وأجهزة التطوير المشتركة.

تقوم ميزة تصدير Pi HTML بتحويل نص Markdown الخاص بالجلسة إلى ملف HTML ثابت، لكنها تفشل في رفض أنماط عناوين URL للروابط والصور غير الآمنة في Markdown بشكل متسق. في الإصدارات التي تطبق تصفية الأنماط، يمكن لأحرف التحكم C0 (الأحرف غير القابلة للطباعة في نطاق ASCII من 0 إلى 31) الموجودة في نمط عنوان URL تجاوز الفحوصات الأمنية لأن متصفحات الويب تقوم بتوحيد هذه الأحرف قبل التنقل. قد يؤدي ذلك إلى حدوث هجمات البرمجة النصية عبر المواقع (XSS)، حيث يمكن للمهاجم تنفيذ نصوص برمجية في المستند المُصدَّر إذا نجح في إدخال Markdown غير آمن في الجلسة، مثل من خلال حقن المطالبة. ويتمثل الخطر الرئيسي في الكشف المحدود عن البيانات المضمنة في ملف الجلسة المُصدَّر.