Valentin Lobstein

MikroTik RouterOS through 7.24.5 contains a session token replay vulnerability in the WebFig interface that allows attackers to bypass authentication by replaying captured session tokens across new ECDH sessions. The makeSessionKey function in libucrypto.so generates tokens using fixed salts without incorporating channel-specific or session-specific input, and the user service validates tokens against the login store without verifying channel context, enabling stolen tokens to grant persistent administrative access until the token store is explicitly cleared. This vulnerability extends the impact of CVE-2025-61481, which identified the underlying transport-layer exposure without a corresponding fix.

**اسم البرنامج المصاب والإصدارات المتأثرة** إضافة odt2spip لبرنامج SPIP الإصدارات السابقة لـ 4.4.0 **Description** يمكن للمؤلفين المصرح لهم تنفيذ أوامر نظام تشغيل تعسفية عن طريق تحميل مستند باسم ملف مصمم بشكل خبيث من خلال نموذج استيراد المستندات. تحدث هذه المشكلة عندما يتم تضمين رموز shell الخاصة، مثل `$(id)`، في اسم ملف ليس بامتداد .odt. تتجاوز هذه الرموز عملية التطهير غير الكافية في الدالتين `odt2spip deplacer fichier upload()` و `LibreOffice::createCommand()`، مما يؤدي إلى تنفيذ رموز عن بُعد بصلاحيات مستخدم خادم الويب أثناء عملية تحويل LibreOffice. **Recommendations** التحديث إلى الإصدار 4.4.0 أو إصدار أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Xorbits Xoscar الإصدارات السابقة لـ 0.11.2 **Description** توجد ثغرة إلغاء تسلسل غير مصرح بها في قنوات TCP الخاصة بـ actor-pool. يمكن للمهاجمين عن بُعد تنفيذ رمز عشوائي بصلاحيات root على عقد GPU عن طريق إرسال بيانات مصممة خصيصاً. تحدث المشكلة عندما تقوم `SocketChannel.recv()` بتمرير بيانات غير مصادق عليها إلى `cloudpickle.loads()`، مما يؤدي إلى تنفيذ gadget pickle ` reduce ` قبل التحقق من نوع الرسالة. **Recommendations** تحديث Xorbits Xoscar إلى إصدار أحدث من 0.11.2.

**Name of the Vulnerable Software and Affected Versions** JCTables version 1.21.1 **Description** An unauthenticated SQL injection exists in the front-end CRUD API controller. The component fails to perform Joomla token validation and authentication checks on any task. Table names, column names, and values are taken directly from request parameters and concatenated into SQL queries, enabling unauthorized read and write operations. **Recommendations** Update JCTables to a version newer than 1.21.1.

**Name of the Vulnerable Software and Affected Versions** Softaculous Virtualizor versions prior to 3.2.9 (Patch 9) Softaculous Virtualizor version 3.0.0 **Description** An OS command injection exists in the billing module handler. Unauthenticated remote attackers can bypass authentication using specific parameter combinations to execute arbitrary commands as root. This is achieved by deserializing a crafted `billing data` POST field and injecting shell payloads through the `uid` field. The `uid` variable is passed unmodified to the `proc open()` function via `vexec()`, potentially granting complete control of the host and all managed VPS instances. **Recommendations** Update Softaculous Virtualizor to version 3.2.9 (Patch 9) or newer. Update Softaculous Virtualizor to version 3.3.0 or newer.

**Name of the Vulnerable Software and Affected Versions** Softaculous Virtualizor versions prior to 3.2.9 (Patch 9) Softaculous Virtualizor version 3.0.0 **Description** A PHP object injection issue exists in the billing module handler. Unauthenticated remote attackers can provide arbitrary serialized PHP objects for deserialization by setting the `act` parameter to login while the `from billing module` parameter is present. By passing malicious serialized data through the `billing data` POST field, the `unserialize()` function processes the data without `allowed classes` restrictions. This allows the exploitation of POP chains (Property-Oriented Programming, a technique used to execute arbitrary code by leveraging existing classes in the application) to achieve remote code execution with root privileges. **Recommendations** Update to version 3.2.9 (Patch 9) or later. Update to a version newer than 3.0.0. As a temporary mitigation, restrict access to the billing module handler to prevent unauthenticated remote requests.

**Name of the Vulnerable Software and Affected Versions** Softaculous Virtualizor versions prior to 3.2.9 (Patch 9) Softaculous Virtualizor version 3.0.0 **Description** An authorization bypass exists in the billing module handler. Unauthenticated remote attackers can modify any tenant's account balance by sending a POST request to the admin panel dispatcher with crafted `act` and `from billing module` parameters. By including arbitrary `uid` and `balance` values within the `billing data` field, an attacker can trigger an unauthenticated parameterized UPDATE against the users table, leading to account balance manipulation and potential automated service suspension for targeted accounts. **Recommendations** Update Softaculous Virtualizor to version 3.2.9 (Patch 9) or later. Update Softaculous Virtualizor to a version newer than 3.0.0.

FileRun before 2026.3.0 contains an OS command injection vulnerability in the PhotoProofSheet handler that allows authenticated users with upload permission to execute arbitrary commands by uploading files with shell metacharacters in their names. Attackers can upload a file containing command substitution syntax such as backticks, semicolons, or $() sequences in the filename, then trigger the PhotoProofSheet endpoint to execute arbitrary commands as the web-server user due to missing escapeshellarg() sanitization in the ImageMagick montage command construction.

FileRun before 2026.3.0 contains a PHP object injection vulnerability that allows authenticated attackers to execute arbitrary code by exploiting incorrect options passed to unserialize() in the Perms::getPerms() method, where a positional array is used instead of the required named-key array to disable class instantiation. Attackers with database write access can inject a serialized gadget chain into the permissions table columns processed on every authenticated page load to write arbitrary files, such as PHP webshells, to web-accessible paths.

FileRun before 2026.3.0 contains a SQL injection vulnerability that allows delegated or simple administrators to execute arbitrary SQL by submitting the description parameter as an array, causing the getValuesString() method in DB/DP.php to interpolate raw array values directly into an INSERT statement without parameterization. Because the underlying PDO connection uses emulated prepared statements enabling stacked queries, attackers can manipulate the df users permissions table to escalate a delegated administrator account to superuser privileges, and may additionally achieve code execution via unsanitized path values passed to require once in the logs listing component.

**Name of the Vulnerable Software and Affected Versions** FileRun versions prior to 2026.3.0 **Description** An OS command injection issue exists due to a no-op redefinition of the `escapeshellcmd()` function in `CLI.php`, which removes shell-metacharacter escaping and allows unsanitized input to reach an `exec()` sink. This can be exploited through an interactive path via the `image preview.php` endpoint using a crafted `args` parameter, which requires superuser authentication. Alternatively, it can be exploited through a persistent path by storing malicious payloads in the `thumbnails ffmpeg args` or `thumbnails ffmpeg ss` variables, which execute when any user triggers video thumbnail generation. **Recommendations** Update to version 2026.3.0 or later. Restrict access to the `image preview.php` endpoint and avoid using the `args` parameter until the update is applied. Avoid modifying the `thumbnails ffmpeg args` and `thumbnails ffmpeg ss` variables until the update is applied.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Joomla! Core من 1.0.0 إلى 5.4.7 إصدارات Joomla! Core من 6.0.0 إلى 6.1.2 **الوصف** يفشل البرنامج في تضمين ملفات SHTML في قائمته الافتراضية للملفات الخطرة، مما يسمح بتحميل هذه الملفات دون قيود. على الخوادم المُهيأة لتنفيذ ملفات SHTML، قد يؤدي ذلك إلى تنفيذ التعليمات البرمجية عن بُعد. **التوصيات** قم بتحديث إصدارات Joomla! Core من 1.0.0 إلى 5.4.7 إلى إصدار أحدث من 5.4.7. قم بتحديث إصدارات Joomla! Core من 6.0.0 إلى 6.1.2 إلى إصدار أحدث من 6.1.2.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات FileRun السابقة للإصدار 2026.2.1 **الوصف** يمكن للمهاجمين المصادق عليهم تنفيذ تعليمات برمجية عن بُعد من خلال حقن أوامر نظام التشغيل. تحدث هذه المشكلة عندما يقوم نظام إنشاء الصور المصغرة بتمرير أسماء الملفات المُحاطة بعلامات الاقتباس المزدوجة الخاصة بـ shell مباشرةً إلى الدالة `exec()` دون استخدام عملية التنقية `escapeshellarg()`. وهذا يسمح لأسماء الملفات التي تحتوي على تسلسلات استبدال أوامر shell، مثل `$(PAYLOAD).mp4`، بتجاوز أداة تنقية أسماء الملفات وتنفيذها كأوامر shell عند معالجتها بواسطة ffmpeg أو ImageMagick أو vips أو stl-thumb. **التوصيات** تحديث FileRun إلى إصدار أحدث من 2026.2.0.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Sonic 3 A.I.R. السابقة لـ commit 2492d18 **الوصف** توجد مشكلة تتعلق بنقص التحقق من صحة عنوان المصدر في `ConnectionManager`، حيث يتم معالجة الاتصالات القائمة باستخدام معرّف اتصال محلي مكون من بايتين فقط. يفشل النظام في التحقق مما إذا كان عنوان مصدر حزمة البيانات يتطابق مع العنوان البعيد المسجل للاتصال. يمكن للمهاجم الموجود على المسار والقادر على مراقبة حركة مرور UDP النصية العادية حقن حزم بيانات عشوائية في الجلسات القائمة عن طريق تزوير معرف الاتصال المكون من بايتين. وهذا يسمح بإنهاء الجلسة عبر `TerminateConnectionPacket`، وتزوير رسائل القناة بشكل عشوائي، وتزوير استجابات الطلبات دون الحاجة إلى انتحال عنوان IP. **التوصيات** تحديث Sonic 3 A.I.R. إلى الإصدار 2492d18 أو إصدار أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Sonic 3 A.I.R. السابقة لـ commit 2492d18 **الوصف** توجد مشكلة في تخصيص الذاكرة غير المحدود في الدالة `ReceivedPacketCache::enqueuePacket()`. يمكن للمهاجمين عن بُعد غير المصادق عليهم تعطيل عملية الخادم عن طريق إرسال حزمة UDP مصممة خصيصًا حيث يتم تعيين المتغير `mUniquePacketID` على القيمة القصوى لـ uint32. ونظرًا لأن حقل `mUniquePacketID` يُقرأ من رأس حزمة UDP بتنسيق السلك دون فحص الحدود، يقوم الخادم بتخصيص عنصر CacheItem واحد لكل فجوة مفقودة في معرّف الحزمة. يؤدي هذا إلى استنفاد ذاكرة المضيف المتاحة ويؤدي إلى حدوث استثناء `std::bad alloc` لم يتم التقاطه، مما يؤدي إلى استدعاء `std::terminate()`. **التوصيات** تحديث Sonic 3 A.I.R. إلى التعديل 2492d18 أو إصدار أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Monsta FTP الأقدم من 2.14.5 **الوصف** يوجد ثغرة في تزوير الطلبات من جانب الخادم (SSRF) دون مصادقة، وذلك بسبب فحص غير كامل لقائمة حظر عناوين IP في الدالة `isBlockedIP()`، التي تفشل في اكتشاف عناوين IPv4 المضمنة داخل عناوين IPv6 المُخاطبة بـ IPv4. يمكن للمهاجم الحصول على رمز CSRF من نقطة النهاية `getSystemVars` وإرسال طلب إلى الإجراء `fetchRemoteFile` باستخدام عنوان URL مصدر يُحل إلى عنوان مخطط لـ IPv4. وهذا يسمح للخادم بإصدار طلبات HTTP إلى الخدمات الداخلية وكتابة الردود إلى وجهة FTP يسيطر عليها المهاجم، مما قد يؤدي إلى كشف بيانات اعتماد بيانات التعريف الخاصة بالمثيلات السحابية. **التوصيات** قم بالتحديث إلى الإصدار 2.14.5 أو أحدث. قم بتقييد الوصول إلى الإجراء `fetchRemoteFile` كإجراء تخفيفي مؤقت.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** GEN3C التابع لمختبر الذكاء المكاني (SIL) التابع لشركة NVIDIA (لم يتم تحديد الإصدارات المتأثرة) **الوصف** يحتوي خادم واجهة برمجة التطبيقات (API) للاستدلال على ثغرة تسمح بتنفيذ تعليمات برمجية عن بُعد دون مصادقة. تقوم نقاط النهاية ’/request-inference‘ و ’/seed-model‘ بإلغاء تسلسل نصوص طلبات HTTP الأولية باستخدام دالة `pickle.loads()` في لغة Python دون طلب المصادقة أو إجراء التحقق من صحة المدخلات. يمكن للمهاجم إرسال حمولة مصممة خصيصًا تحتوي على أداة ` reduce ` إلى منفذ واجهة برمجة التطبيقات (API) للاستدلال لتنفيذ تعليمات برمجية عشوائية بامتيازات عملية الاستدلال. **التوصيات** في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات NetBox من 4.3.5 إلى 4.5.4 **الوصف** تسمح مشكلة في الأسلوب `RenderTemplateMixin.get environment params()` للمستخدمين المصادق عليهم الذين يمتلكون أذونات `exporttemplate` أو `configtemplate` بتنفيذ تعليمات برمجية تعسفية. من خلال تحديد دالات Python الخبيثة في حقل `environment params`، يمكن للمهاجمين تجاوز إجراءات الحماية الخاصة بـ Jinja2 SandboxedEnvironment. ويتم تحقيق ذلك عن طريق تعيين المعلمة `finalize` إلى دالة Python قابلة للاستيراد، مثل `subprocess.getoutput`، والتي يتم استدعاؤها بعد ذلك في كل تعبير يتم عرضه خارج آلية اعتراض الاستدعاءات الخاصة ببيئة الحماية (sandbox)، مما يؤدي إلى تنفيذ تعليمات برمجية عن بُعد بصفتك مستخدم خدمة NetBox. **التوصيات** قم بتحديث NetBox إلى إصدار أحدث من 4.5.4. كحل مؤقت، قم بتقييد أذونات `exporttemplate` و`configtemplate` لتقتصر على المستخدمين الموثوق بهم فقط.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات OpenCATS السابقة لـ commit 3002a29 **الوصف** توجد ثغرة في نقطة نهاية AJAX الخاصة ببرنامج التثبيت تسمح بحقن كود PHP دون مصادقة. وهذا يتيح للمهاجمين تنفيذ كود تعسفي عن طريق حقن عبارات PHP في معلمة الإجراء `databaseConnectivity`. باستخدام علامة الاقتباس المفردة وفاصل العبارات، يمكن للمهاجم الخروج من سياق السلسلة `define()` في ملف config.php. يستمر الكود الخبيث المُحقن ويُنفَّذ عند كل تحميل لاحق للصفحة طالما ظل معالج التثبيت غير مكتمل. **التوصيات** قم بالتحديث إلى الإصدار 3002a29 أو إصدار أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات LeRobot الأقدم من 0.6.0 **الوصف** توجد مشكلة في عملية إزالة التسلسل غير الآمنة في مسار الاستدلال غير المتزامن لمكونات خادم السياسات وعميل الروبوت. يستخدم البرنامج الدالة `pickle.loads()` لإلغاء تسلسل البيانات المستلمة عبر قنوات gRPC غير المصادق عليها والتي تفتقر إلى TLS (أمان طبقة النقل)، وهو بروتوكول يُستخدم لتشفير الاتصالات. يمكن لمهاجم غير مصادق عليه وقابل للوصول عبر الشبكة تنفيذ تعليمات برمجية عن بُعد عن طريق إرسال حمولة pickle مصممة خصيصًا من خلال استدعاءات gRPC التالية: - `SendPolicyInstructions` - `SendObservations` - `GetActions` يمكن أن يؤدي استغلال هذه الثغرة إلى اختراق الجهاز المضيف، أو سرقة البيانات الحساسة مثل مفاتيح واجهة برمجة التطبيقات (API) وبيانات اعتماد SSH، أو التنقل الأفقي داخل الشبكة، أو رفض الخدمة، أو التلاعب بسلوك الروبوت المادي. **التوصيات** قم بالتحديث إلى الإصدار 0.6.0. كإجراء تخفيفي مؤقت، قم بتقييد الوصول الشبكي إلى منفذ PolicyServer لمنع الاتصالات الخارجية غير المصرح بها.