Xeloxa

يستخدم مُنشئ المفاتيح الافتراضي في برنامج الوسيط الخاص بالذاكرة المؤقتة مسار الطلب فقط عبر الدالة `c.Path()` ويستبعد سلسلة الاستعلام. ونتيجة لذلك، يتم تعيين الطلبات التي تستهدف نفس المسار ولكنها تحتوي على معلمات استعلام مختلفة إلى نفس مفتاح الذاكرة المؤقتة. ويؤدي ذلك إلى حدوث خلط في الاستجابات، حيث قد يتلقى المستخدم استجابة مخزنة في ذاكرة التخزين المؤقت مخصصة لطلب آخر، مما قد يؤدي إلى تسرب أو تلف المحتوى الخاص بالمستخدم أو المستأجر بالنسبة لنقاط النهاية التي تعتمد فيها الاستجابة على معلمات الاستعلام.

توجد مشكلة في اجتياز المسار في أمر تنزيل المهارات (fetch). تقبل العلامة `--out=` المسارات التي يقدمها المستخدم دون التحقق منها بشكل صحيح، مما يسمح للمهاجمين بكتابة ملفات في مواقع عشوائية على نظام الملفات. وقد يؤدي ذلك إلى الكتابة فوق ملفات النظام الهامة أو إنشاء ملفات في مواقع حساسة.

توجد ثغرة تتعلق بحقن الأوامر في الدالة ` extractLLM()`. تقوم هذه الدالة بإنشاء أمر curl باستخدام ربط السلاسل، ثم تمرره إلى الدالة `execSync()` دون إجراء عملية تنقية مناسبة. وهذا يسمح للمهاجمين بتنفيذ أوامر شل تعسفية على الخادم عندما تحتوي المعلمة `corpus` على أحرف خاصة بشل، مما يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد.

تسمح مشكلة تلوث النموذج الأولي (prototype pollution) في وحدة تخزين صندوق البريد للمهاجمين بتعديل سلوك جميع كائنات JavaScript عن طريق إدخال خصائص ضارة في Object.prototype. تحدث هذه الثغرة داخل الدالتين ` applyUpdate()` و` updateRecord()`، اللتين تستخدمان Object.assign() لدمج البيانات التي يتحكم فيها المستخدم دون تصفية المفاتيح الخطرة مثل ` proto ` أو `constructor` أو `prototype`.