Y4Tacker

Qwik هو إطار عمل JavaScript، حيث كانت الإصدارات السابقة للإصدار 1.19.2 تفسر بشكل خاطئ المصفوفات المستمدة من أسماء حقول النماذج التي تحتوي على نقاط أثناء تحليل FormData. يمكن للمهاجم إرسال مفاتيح مختلطة من مؤشرات المصفوفات وخصائص الكائنات لنفس المسار، مما قد يؤدي إلى كتابة خصائص يتحكم فيها المستخدم على قيم يُتوقع أن تكون مصفوفات. عند معالجة طلبات `application/x-www-form-urlencoded` أو `multipart/form-data`، كان Qwik City يحول أسماء الحقول المنقطة (مثل `items.0`، `items.1`) إلى هياكل متداخلة. إذا تم تفسير المسار على أنه مصفوفة، فإن المفاتيح الإضافية التي يزودها المهاجم — مثل `items.toString` أو `items.push` أو `items.valueOf` أو `items.length` — قد تغير القيمة من جانب الخادم بشكل غير متوقع. وقد يؤدي ذلك إلى فشل معالجة الطلبات، أو رفض الخدمة من خلال حالة مصفوفة مشوهة أو أطوال كبيرة جدًا، وخلط في أنواع البيانات في الكود التالي. تؤثر هذه المشكلة على تحليل النماذج في معالجة طلبات Qwik City ولا تتطلب مصادقة إذا كان المسار المعرض للخطر متاحًا للجمهور. يمكن للمهاجم إرسال نماذج مُعدة خصيصًا تتسبب في اختلاف المدخلات التي تم تحليلها عن الشكل المتوقع للتطبيق، مما قد يؤدي إلى حدوث أخطاء في وقت التشغيل أو التسبب في خلط الأنواع.

Cursor هو محرر أكواد مصمم للبرمجة باستخدام الذكاء الاصطناعي. قبل الإصدار 2.0، إذا احتوى موقع ويب تمت زيارته على تعليمات مصممة بشكل خبيث، فقد يحاول النموذج اتباعها لمساعدة المستخدم. عند اقتران ذلك بتجاوز آلية قائمة الأوامر المسموح بها، قد تؤدي عمليات الحقن غير المباشرة هذه إلى تنفيذ الأوامر تلقائيًا، دون نية صريحة من المستخدم، مما يشكل خطرًا أمنيًا كبيرًا.

يوجد تباين زمني ملحوظ في Apache Shiro. قبل الإصدار 2.0.7، كانت مسارات الكود المستخدمة للمستخدمين غير الموجودين والموجودين تختلف بما يكفي، مما يسمح لهجوم القوة الغاشمة بتحديد ما إذا كانت الطلبات تفشل بسبب مستخدم غير صالح أو كلمة مرور غير صحيحة من خلال قياس وقت الاستجابة. أكثر نواقل الهجوم احتمالاً هو الهجوم المحلي. ترتبط هذه المشكلة بتعداد أسماء المستخدمين، كما تمت مناقشته في نموذج أمان Shiro. يمكن عادةً التخفيف من حدة هجمات القوة الغاشمة على مستوى البنية التحتية.

يحتوي برنامج Cursor، وهو محرر أكواد للبرمجة باستخدام الذكاء الاصطناعي، على ثغرة أمنية تتيح للمهاجم، عند استخدام مصادقة OAuth مع خادم MCP غير موثوق به، انتحال صفة خادم ضار وإدخال أوامر. قد يؤدي ذلك إلى حقن الأوامر وإمكانية تنفيذ التعليمات البرمجية عن بُعد. وإذا اقترن ذلك بخدمة MCP غير موثوقة عبر OAuth، فقد يسمح ذلك بتنفيذ تعليمات برمجية تعسفية على المضيف بامتيازات مستخدم كاملة. تتضمن العملية المعرضة للثغرة تفاعلًا أثناء مصادقة OAuth، حيث يتم إرجاع أوامر تم التلاعب بها من قِبل الخادم الخبيث. نقطة نهاية واجهة برمجة التطبيقات (API) المستخدمة لمصادقة OAuth معرضة للتلاعب. ويشارك خادم `MCP` في عملية المصادقة.

The issue is related to the IPAuthenticationProvider in the ZooKeeper Admin Server, which allows for authentication bypass via spoofing. This impacts IP-based authentication and is due to the default configuration using HTTP request headers to detect the client's IP address, specifically honoring the X-Forwarded-For HTTP header. This can be easily spoofed by an attacker, allowing them to bypass authentication. Successful exploitation could lead to information leakage or service availability issues, as Admin Server commands like snapshot and restore can be executed arbitrarily.

This issue affects Apache OFBiz, allowing unauthenticated endpoints to execute screen rendering code of screens if certain preconditions are met, such as when screen definitions do not explicitly check user permissions. The vulnerability is related to incorrect authorization and can lead to remote code execution. It is being actively exploited, and proof-of-concept exploits are available. Users are recommended to upgrade to version 18.12.15 to fix the issue.

The issue is related to the exposure of sensitive information to an unauthorized actor. Users are advised to ensure that logs are only available to trusted operators as a temporary measure.

A cleverly devised username might bypass LDAP authentication checks. In LDAP-authenticated Derby installations, this could let an attacker fill up the disk by creating junk Derby databases. In LDAP-authenticated Derby installations, this could also allow the attacker to execute malware which was visible to and executable by the account which booted the Derby server. In LDAP-protected databases which weren't also protected by SQL GRANT/REVOKE authorization, this vulnerability could also let an attacker view and corrupt sensitive data and run sensitive database functions and procedures.

The issue is related to the exposure of Remote Code Execution in Apache DolphinScheduler, which can be exploited by a remote attacker to execute arbitrary code. This could potentially lead to complete system compromise, data extraction, and lateral movement within the network. The issue is caused by incorrect code generation management.

The issue allows an unauthenticated attacker with network access via HTTP to compromise Oracle WebLogic Server. Successful attacks can result in unauthorized update, insert, or delete access to some of Oracle WebLogic Server's accessible data, as well as unauthorized read access to a subset of Oracle WebLogic Server's accessible data and the ability to cause a partial denial of service of Oracle WebLogic Server. This is due to insufficient input validation in the Core component.

A possible security vulnerability has been identified in Apache Kafka Connect API. This requires access to a Kafka Connect worker, and the ability to create/modify connectors on it with an arbitrary Kafka client SASL JAAS config and a SASL-based security protocol. When configuring the connector via the Kafka Connect REST API, an authenticated operator can set the `sasl.jaas.config` property for any of the connector's Kafka clients to "com.sun.security.auth.module.JndiLoginModule", which can be done via the `producer.override.sasl.jaas.config`, `consumer.override.sasl.jaas.config`, or `admin.override.sasl.jaas.config` properties. This will allow the server to connect to the attacker's LDAP server and deserialize the LDAP response, which the attacker can use to execute java deserialization gadget chains on the Kafka connect server. Attacker can cause unrestricted deserialization of untrusted data (or) RCE vulnerability when there are gadgets in the classpath.

The issue is related to insufficient input validation in the Core component of Oracle WebLogic Server, allowing an unauthenticated attacker with network access via T3, IIOP to compromise the server. Successful attacks can result in unauthorized access to critical data or complete access to all Oracle WebLogic Server accessible data. It is estimated that millions of servers worldwide are affected, with 166,000 in Brazil alone.

A vulnerability in the Apache Batik library for working with SVG images is related to insufficient checking of incoming requests. This issue allows an attacker to run untrusted Java code from an SVG, potentially enabling remote execution of arbitrary Java code. The estimated impact of this issue is high, with potential exposure of assets in the environment susceptible to exploitation, affecting confidentiality.

A vulnerability in Batik of Apache XML Graphics allows an attacker to run Java code from untrusted SVG via JavaScript. This issue is related to insufficient checking of incoming requests. The exploitation of this issue may allow a remote attacker to execute arbitrary Java code.

The issue allows a high privileged attacker with logon to the infrastructure where Oracle WebLogic Server executes to compromise Oracle WebLogic Server. Successful attacks can result in unauthorized ability to cause a hang or frequently repeatable crash of Oracle WebLogic Server, as well as unauthorized update, insert or delete access to some of Oracle WebLogic Server accessible data and unauthorized read access to a subset of Oracle WebLogic Server accessible data.

The issue is related to an authentication bypass vulnerability in Apache Shiro when forwarding or including via RequestDispatcher.

The issue allows attackers to bypass a protection mechanism and implement arbitrary code execution with springbok. It is noted that the vendor disputes this, as input to the Pebble templating engine is intended to include arbitrary Java code. The vendor suggests that either the input should not arrive from an untrusted source, or else the application using the engine should apply restrictions to the input, as the engine is not responsible for validating the input.

The issue is related to insufficient input validation in the Web Container component of Oracle WebLogic Server, allowing a high-privileged attacker with logon access to the infrastructure to compromise the server. Successful attacks can result in unauthorized access to critical data or all accessible data, including creation, deletion, or modification of data.

A Cross Site Scripting (XSS) issue exists via the `pwg activity` function in `include/functions.inc.php`. This allows for potential malicious script execution.

A Remote Code Execution (RCE) issue exists via the `value[ filename]` in index.php, allowing a malicious user to obtain server control privileges.