William Pierson

Gravitee API Management through 4.12.22 contains an authentication bypass vulnerability that allows unauthenticated remote attackers to impersonate any user by forging JWTs signed with the shipped default jwt.secret. Attackers knowing an existing user ID can sign an HS256 token with that subject and present it as a bearer token to the Management API, impersonating administrators to gain full platform control.

**اسم البرنامج المصاب والإصدارات المتأثرة** ERPNext الإصدارات 15.55.0 through 16.50.0 **Description** توجد مشكلة في التصريح غير الصحيح في الدالة `get timesheet html()`. يمكن لمستخدمي البوابة المصرح لهم عرض جداول البيانات الزمنية للمشاريع لأن النظام يتحقق فقط من صلاحية القراءة للمشروع، متجاهلاً عضوية المشروع وإعداد `hide timesheets`. يسمح هذا باسترداد غير مصرح به لأسماء جداول البيانات الزمنية، والحالة، وتواريخ تسجيل الوقت، وآخر المعدلين. **Recommendations** تحديث إصدارات ERPNext من 15.55.0 through 16.50.0 إلى إصدار أحدث يعالج خلل التصريح هذا. كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى الدالة `get timesheet html()` لمستخدمي البوابة.

**اسم البرنامج المصاب والإصدارات المتأثرة** ERPNext الإصدارات 9.0.0 through 16.50.0 **Description** يمكن للمستخدمين المصرح لهم، بما في ذلك المستخدمون الذين لديهم وصول إلى بوابة العملاء، عرض كميات المخزون لكل دفعة من العناصر عبر المستودعات. يحدث هذا بسبب فقدان التصريح في طرق الدفعات المدرجة في القائمة البيضاء. يمكن للمهاجم استغلال ذلك عن طريق استدعاء الدوال `get batch qty()` أو `get batches by oldest()` أو `get pos reserved batch qty()`. **Recommendations** في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.

**اسم البرنامج المصاب والإصدارات المتأثرة** @enmaso/node-convert الإصدارات السابقة لـ 1.0.1 **الوصف** توجد ثغرة حقن أوامر نظام التشغيل في ملف `convert.js`. يمكن للمهاجمين تنفيذ أوامر shell بصلاحيات عملية Node.js عن طريق حقن رموز shell الخاصة أو علامة اقتباس مفردة في وسيطي `filepath` و `convertTo`. يحدث هذا لأن هذه الوسائط لا يتم تنقيتها بشكل صحيح قبل تمريرها إلى أمر ImageMagick الذي يتم تنفيذه عبر دالة `child process.exec()`. **التوصيات** تحديث @enmaso/node-convert إلى إصدار أحدث من 1.0.0. كإجراء تخفيف مؤقت، قم بتقييد أو تنقية وسيطي `filepath` و `convertTo` المستخدمين في ملف `convert.js` لمنع حقن رموز shell الخاصة.

**اسم البرنامج المصاب والإصدارات المتأثرة** ppt2png الإصدارات من 0.0.1 إلى 0.0.6 **Description** توجد ثغرة حقن أوامر نظام التشغيل حيث يمكن للمهاجمين تنفيذ أوامر نظام التشغيل من خلال تقديم وسائط مسار إدخال أو إخراج غير مجهزة. يحدث هذا عندما يتم إلحاق رموز ميتا الخاصة بالغلاف (shell metacharacters)، مثل `;` ، بأسماء الملفات التي يتم معالجتها بواسطة الدالة `child process.exec()` في ملف `ppt2png.js` ، مما يسمح بتشغيل الأوامر بصلاحيات عملية Node.js. **Recommendations** تحديث ppt2png إلى إصدار أحدث من 0.0.6. كإجراء تخفيف مؤقت، تجنب تقديم مسارات ملفات غير مجهزة للتطبيق.

**اسم البرنامج المتأثر والإصدارات المتأثرة** image optimizer Ruby gem الإصدارات 1.3.0 through 1.9.0 **Description** توجد ثغرة حقن أوامر نظام التشغيل في الدالة `identify format()`. يحدث هذا عندما يكون خيار identify مفعلًا، مما يسمح للمهاجمين بتنفيذ أوامر عشوائية من خلال توفير مسار صورة مصمم خصيصًا. إذا تمكن المهاجم من التحكم في المسار، مثل اسم ملف تم رفعه، فيمكنه إلحاق رموز ميتا الخاصة بالشل مثل `;` والتي يتم تنفيذها عبر backticks الخاصة بلغة Ruby بصلاحيات عملية Ruby. **Recommendations** في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.

**Name of the Vulnerable Software and Affected Versions** dot-access versions 0.0.3 through 1.0.0 **Description** A code injection flaw exists where the `get()` function concatenates user-supplied paths into a new `Function` body within `index.js`. This allows remote attackers to access `constructor.constructor` to load the `child process` module and execute arbitrary operating system commands within the Node.js process. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability. As a temporary workaround, restrict the use of the `get()` function when handling untrusted input.

**اسم البرنامج المصاب والإصدارات المتأثرة** dot-access الإصدارات السابقة لـ 1.0.1 **Description** توجد مشكلة تلوث النموذج الأولي (prototype pollution) حيث يمكن للمهاجمين تعديل `Object.prototype` عن طريق تقديم مسار منقط مصمم خصيصاً إلى الدالة `set()`. من خلال التحكم في المسار، مثل أسماء الحقول التي يوفرها المستخدم، يمكن للمهاجمين استخدام أجزاء ` proto ` لحقن خصائص في جميع الكائنات. قد يؤدي ذلك إلى تغيير أعلام التفويض وافتراضات الخيارات أو تسبب في تعطل العملية. **Recommendations** تحديث dot-access إلى إصدار أحدث من 1.0.0. كإجراء تخفيف مؤقت، قم بتقييد أو التحقق من المدخلات التي يوفرها المستخدم والمستخدمة في الدالة `set()` لمنع استخدام أجزاء ` proto `.