Xavlimsg

A user could create a docx or odt file with a # in the filename with confidential information such as a credit card number and have it not be marked as confidential.

توجد مشكلة في التحكم في الوصول في نقطة نهاية البحث عن المستخدمين «Account Resources». يمكن للمستخدم المصادق عليه عن بُعد الذي يمتلك موردًا واحدًا على الأقل من موارد «الوصول المُدار من قبل المستخدم» (UMA) أن يقوم بتعداد وجمع المعلومات الشخصية المُعرِّفة (PII) لجميع مستخدمي المجال. من خلال إرسال طلبات مُصممة خصيصًا تحتوي على أسماء مستخدمين أو عناوين بريد إلكتروني عشوائية إلى نقطة النهاية، يعرض النظام كائنات ملفات تعريف كاملة لمستخدمين غير ذوي صلة، مما يؤدي إلى كشف واسع النطاق للمعلومات على مستوى ملفات التعريف.

يؤدي عيب في تطبيق قواعد الشبكة الخاصة بنموذج أذونات Node.js إلى عدم تطبيق عمليات التحقق من الأذونات المطلوبة على عمليات خادم مآخذ المجال في نظام يونكس (UDS)، على الرغم من أن مسارات الشبكة المماثلة الأخرى يتم تطبيق القواعد عليها بشكل صحيح. وهذا يسمح للكود الذي يتم تنفيذه باستخدام العلامة `--permission` وبدون العلامة `--allow-net` بإنشاء ونشر نقاط نهاية محلية للتواصل بين العمليات (IPC). ونتيجة لذلك، يتيح هذا التواصل مع العمليات الأخرى على نفس المضيف، متجاوزًا حدود تقييد الشبكة المقصودة. وتعد ميزة `--allow-net` تجريبية حاليًا.

يحتوي البرنامج على ثغرة في عملية تجاوز المصادقة في مكون خادم FTP SwiFTP المدمج. وهذا يسمح للمهاجمين على الشبكة بتسجيل الدخول دون بيانات اعتماد صالحة، عن طريق إرسال مجموعات عشوائية من أسماء المستخدمين وكلمات المرور إلى معالج الأمر `PASS`، الذي يمنح الوصول دون شروط. يتيح الاستغلال الناجح للمهاجمين سرد وقراءة وكتابة وحذف الملفات المعرضة عبر خادم FTP. وقد وصل مشروع البرمجيات مفتوحة المصدر MiCode/Explorer إلى مرحلة نهاية العمر الافتراضي.

تحتوي ميزة «خادم الوصول عن بُعد» في VideoLAN VLC لنظام أندرويد على ثغرة تسمح بتجاوز المصادقة بسبب وجود قيود غير كافية على معدل المحاولات عند التحقق من كلمة المرور ذات الاستخدام الواحد (OTP). يستخدم الخادم كلمة مرور OTP مكونة من 4 أرقام، لكنه يفتقر إلى آليات فعالة لتقييد معدل المحاولات أو الحظر خلال فترة صلاحية كلمة المرور OTP. يمكن للمهاجم الذي يتمتع بإمكانية الوصول إلى الشبكة أن يحاول مرارًا وتكرارًا التحقق من كلمة المرور OTP للحصول على ملف تعريف ارتباط `user session` صالح، مما يؤدي إلى وصول غير مصرح به إلى واجهة الوصول عن بُعد. يقتصر الوصول على ملفات الوسائط التي يشاركها مستخدم VLC لنظام Android عبر الواجهة. لم يتم ذكر نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة بشكل صريح.

يوجد ثغرة أمنية في jishi node-sonos-http-api قد تسمح بتنفيذ أوامر نظام التشغيل عن بُعد. تتعلق المشكلة بمعالجة الوسيطة `phrase` داخل الدالة `Promise` الموجودة في الملف `lib/tts-providers/mac-os.js` التابع لمكون TTS Provider. وقد تم الكشف عن طريقة استغلال هذه الثغرة علنًا.

يقوم Galaxy FDS Android SDK بتعطيل التحقق من اسم المضيف عبر TLS عندما يكون HTTPS ممكّنًا بشكل افتراضي. وعلى وجه التحديد، تقوم الدالة `createHttpClient()` داخل الفئة `GalaxyFDSClientImpl` بتكوين Apache HttpClient باستخدام `SSLSocketFactory.ALLOW ALL HOSTNAME VERIFIER`، مما يسمح بقبول أي شهادة TLS بغض النظر عن عدم توافق اسم المضيف. وهذا يسمح لمهاجم من نوع «الرجل في الوسط» (man-in-the-middle) باعتراض وتعديل الاتصالات مع نقاط نهاية التخزين السحابي Xiaomi FDS، مما قد يؤدي إلى الكشف عن بيانات اعتماد المصادقة ومحتوى الملفات واستجابات واجهة برمجة التطبيقات (API). وقد وصل مشروع البرمجيات مفتوحة المصدر XiaoMi/galaxy-fds-sdk-android إلى حالة «نهاية العمر الافتراضي».

يمكن للمهاجم التسبب في هجوم «رفض الخدمة» (DoS) عن طريق خداع النظام لتخصيص ذاكرة زائدة عن الحد أثناء معالجة حمولات DNS عبر QUIC أو DNS عبر HTTP/3. في البيئات التي تتوفر فيها ذاكرة كبيرة، يؤدي هذا عادةً إلى حدوث استثناء يؤدي إلى إغلاق اتصال QUIC. ومع ذلك، في سيناريوهات أخرى، قد يدخل النظام في حالة نفاد الذاكرة (OOM) — وهي حالة يفتقر فيها النظام إلى ذاكرة الوصول العشوائي (RAM) الكافية للعمل — مما يؤدي إلى إنهاء العملية وتعطيل تحليل DNS. يمكن أن تحدث هذه المشكلة بواسطة حزمة QUIC واحدة مصممة خصيصًا ولا تتطلب أي مصادقة.