Valentin Holubec

تحدث ثغرة تزوير الطلبات عبر المواقع عندما يقوم التطبيق بدمج معاملات `$ GET` و `$ POST` دون طلب رمز anti-CSRF. يسمح هذا للمهاجمين عن بُعد بتزوير إجراءات مميزة، مثل إنشاء مستخدمين مسؤولين، من خلال صياغة روابط خبيثة أو صفحات تنقل تلقائي ترسل طلبات GET بسيطة. يستغل هذا الهجوم غياب حماية CSRF وسلوك ملفات تعريف الارتباط SameSite=Lax أثناء عمليات التنقل في المستوى الأعلى.

Omnispace Agora Project through 26.10.0 contains a predictable token generation vulnerability that allows unauthenticated attackers to access private calendar data by exploiting a missing dateCrea value that causes the md5Id token to collapse to md5(calendarId.userId), both small enumerable integers. Attackers can compute valid tokens and request the misc&action=DisplayIcal endpoint with a forged md5Id to read any user's private calendar events without authentication.

Omnispace Agora Project through 26.10.0 contains an open redirect vulnerability that allows remote attackers to redirect users to arbitrary external URLs by manipulating the objUrl parameter in Ctrl.php's redir() function. Attackers can craft login links with objUrl set to a malicious site, causing the application to issue an HTTP 302 redirect to that external URL, which can be abused for phishing and credential theft.

Omnispace Agora Project through 26.10.0 contains an insecure direct object reference vulnerability that allows authenticated attackers to access another user's private mail by supplying a crafted reloadMailTypeId parameter to Ctrl::getCurObj() without a readRight() ownership check in CtrlMail.php. Attackers can manipulate the mail identifier value, such as reloadMailTypeId=mail-1, to retrieve the title and body of private messages belonging to other users, resulting in unauthorized disclosure of sensitive communications.

Omnispace Agora Project through 26.10.0 contains a stored cross-site scripting vulnerability that allows attackers to inject malicious HTML markup by controlling imported directory data or an uploaded CSV file, as values are rendered into table cell text and value attributes after only Txt::utf8Encode() with no HTML escaping in VuePersonsImportExport.php. Attackers can craft a CSV cell containing an attribute-breakout payload that is rendered verbatim and executed in the browser of the administrator performing the import, leading to arbitrary script execution in the administrative context.

Omnispace Agora Project through 26.10.0 contains a SQL injection vulnerability that allows authenticated general administrators to inject arbitrary SQL by setting the personsSort session value, which is concatenated unsanitized into ORDER BY clauses in MdlUser.php and MdlSpace.php. Attackers can submit an error-based extractvalue payload through personsSort to leak database information, such as the MariaDB version, via the user and space listing pages.

Omnispace Agora Project through 26.10.0 contains a predictable token generation vulnerability that allows unauthenticated attackers to forge the shared-calendar iCal share token by deriving md5Id() from predictable fields such as object creation time, which is self-disclosed through autorDate and the iCal CREATED field. Attackers can compute the creation minute and forge the md5Id token to access and read a shared calendar's iCal feed without authorization.

Omnispace Agora Project through 26.10.0 contains a broken access control vulnerability in which the isAutor() function in MdlObject.php grants accessRight=3 based solely on object authorship without verifying the user still belongs to the object's space. Attackers who were previously members and authored objects can retain unauthorized read access to space objects even after being removed from the space, leading to persistent information disclosure.

توجد مشكلة حيث يتم إنشاء رموز إعادة تعيين كلمة المرور باستخدام طريقة يمكن التنبؤ بها، وتحديداً كـ `sha1(login.password)`. نظرًا لأن هذه القيمة حتمية وقابلة لإعادة الاستخدام، يمكن للمهاجمين غير المصرح لهم حساب الرمز أو تخمينه عبر القوة الغاشمة باستخدام تركيبات تسجيل الدخول وكلمات المرور المعروفة أو المتوقعة. يسمح هذا بإنشاء طلبات إعادة تعيين كلمة مرور مزيفة للاستيلاء على حسابات مستخدمين عشوائيين.

يقوم البرنامج بتخزين رمز "تذكرني" (remember-me) المستمر حرفياً على جانب الخادم، مما يجعل القيمة المخزنة مطابقة لبيانات الاعتماد التي يحملها المستخدم في ملف تعريف الارتباط (cookie). يمكن للمهاجم الذي يصل إلى الرمز المخزن، على سبيل المثال من خلال الكشف عن قاعدة البيانات أو النسخ الاحتياطية، إعادة إرسال القيمة بنص صريح للمصادقة كالمستخدم الضحية دون الحاجة إلى كلمة المرور الخاصة به.

توجد مشكلة تثبيت جلسة حيث يفشل التطبيق في إعادة إنشاء معرف الجلسة بعد مصادقة المستخدم بنجاح. يسمح هذا لمهاجم عن بعد باختطاف جلسة مصادق عليها عن طريق زرع معرف جلسة معروف في متصفح الضحية قبل تسجيل الدخول.

توجد ثغرة تجاوز المسار (path traversal) تسمح للمهاجمين بكتابة ملفات عشوائية خارج الدليل المؤقت المخصص. يحدث هذا عند تقديم قيمة `tmpFolderName` غير مثبتة في مسار وجهة الرفع. من خلال استخدام تسلسل تجاوز يستهدف جذر الويب عبر متغير `tmpFolderName` ، يمكن للمهاجم كتابة ملفات يتم التحكم فيها على النظام وتحقيق تنفيذ عن بُعد للكود.

يوجد خلل في التحكم في الوصول في مسار 'MobileFileDownload' يسمح للمهاجمين غير المصرح لهم بتنزيل ملفات عشوائية. يفشل النظام في إجراء فحوصات تفويض مناسبة، ويعتمد بدلاً من ذلك على رمز `md5(filename)`. يمكن للمهاجمين الذين يستطيعون تخمين أو تحديد أسماء الملفات إنشاء الرمز المطلوب لاسترداد الملفات المحمية، مما يؤدي إلى الكشف غير المصرح به عن المعلومات.

توجد ثغرة حقن SQL في وظيفة التقويم. يمكن للمهاجم حقن استعلامات SQL خبيثة من خلال التلاعب بالمعلمة `sortEvents` التي يتم دمجها في جملة ORDER BY دون تنقية في الملف `app/ModCalendar/CtrlCalendar.php`. يمكن استغلال هذه الثغرة باستخدام تقنيات تعتمد على الخطأ، مثل حمولات extractvalue، لاستخراج معلومات قاعدة البيانات، بما في ذلك بيانات الإصدار، من النظام.

يسمح خلل في التحكم في الوصول للعضو غير المسؤول بإنشاء حسابات مستخدمين من خلال استدعاء إجراء تحرير المستخدم. يحدث هذا لأن الدالة `actionVueEditUser` تفتقر إلى تحقق من التفويض على مستوى الدالة، وتحديداً غياب فرض `editRight()`، مما قد يؤدي إلى تصعيد الامتيازات.

يوجد خلل في التحكم في الوصول يسمح لمسؤول المساحة بتعيين مستخدمين في مساحات خارج نطاق صلاحياته. يحدث هذا لأن عملية تعيين `spaceAffectList` تتم دون التحقق من حقوق المتصل في المساحة المستهدفة. وبشكل محدد، يؤدي فقدان فحص `readRight()` في عملية join INSERT الخاصة بتدفق الاستيراد إلى تمكين المهاجمين من كسر عزل المستأجرين والتلاعب بتعيينات المستخدم والمساحة عبر مساحات غير مصرح بها.

تسمح ثغرة cross-site scripting منعكسة للمهاجمين غير المصرح لهم بحقن سمات HTML خبيثة. يحدث هذا لأن المعلمة `visioUrl` لا يتم توجيهها عبر فرع تنقية URL الخاص بمرشح المعلمات، ويتم فك ترميزها (urldecoded) بعد عملية الترشيح. يمكن للمهاجم إنشاء رابط URL خبيث يحتوي على المعلمة `visioUrl` مع حمولة لكسر السمات لتنفيذ JavaScript تعسفي في متصفح الضحية قبل عملية المصادقة.

يمكن للمستخدمين المصرح لهم تنفيذ هجوم cross-site scripting مخزن عن طريق إرسال حقل `adress` غير مصفى. يتم عكس هذا الإدخال في سمة معالج حدث onclick دون تحييد علامات الاقتباس، مما يسمح بتخزين نصوص برمجية خبيثة عبر وحدة الروابط (Links module). عندما يقوم مستخدمون آخرون بعرض قائمة الروابط، يتم تنفيذ الحمولة في متصفحهم، مما قد يؤدي إلى اختطاف الجلسة أو اختراق جانب العميل.

يمكن للمهاجمين المصرح لهم تثبيت علامات غير معالجة عن طريق إرسال قيم خبيثة كمصفوفات POST ثنائية الأبعاد من خلال تدفق استيراد LDAP/person. يحدث هذا لأن الدالة `paramsFilter()` تفشل في التكرار داخل المصفوفات المتداخلة، مما يسمح بتجاوز مرشح معاملات الطلب. نتيجة لذلك، يمكن حقن رمز نصي برمجي تعسفي في ملف تعريف المستخدم ليتم تنفيذه لاحقاً في متصفحات المستخدمين الآخرين الذين يشاهدون هذا الملف. ثغرة cross-site scripting المخزنة هي خلل يتم فيه تخزين النصوص البرمجية الخبيثة بشكل دائم على الخادم المستهدف.

توجد ثغرة برمجة عابرة للمواقع (cross-site scripting) مخزنة تسمح للمستخدمين المصرح لهم بنشر رسائل تحتوي على إطارات (iframes) يتحكم بها المهاجم عبر فرع HTMLPurifier SafeIframe الخاص بالمرسل. يتيح ذلك للمهاجمين إرسال إطارات خبيثة يتم تخزينها وعرضها تلقائيًا لأعضاء القناة الآخرين، مما يسهل عمليات التنزيل التلقائي (drive-by downloads) بدون نقر وتنفيذ JavaScript مؤطر في متصفحات المستلمين.