Yaqi Chao

**اسم البرنامج المصاب والإصدارات المتأثرة** MoguBlog الإصدارات السابقة لـ 6.3 **الوصف** يسمح خلل في التحكم في الوصول للمسؤولين المصرح لهم بنقل أو إعادة تسمية ملفات المسؤولين الآخرين على القرص الشبكي من خلال تزويد مسارات الملفات. يحدث هذا لأن النظام يفشل في إجراء فحوصات `admin uid` عند تحديث الصفوف عبر طلبات مصممة خصيصاً إلى نقاط النهاية التالية للواجهة البرمجية (API): "/networkDisk/moveFile" و "batchMoveFile" و "edit". **التوصيات** تحديث MoguBlog إلى إصدار أحدث من 6.2. تقييد الوصول إلى نقاط النهاية "/networkDisk/moveFile" و "batchMoveFile" و "edit" لتقليل مخاطر التلاعب غير المصرح به بالملفات.

**اسم البرنامج المتأثر والإصدارات المتأثرة** برنامج jshERP الإصدارات السابقة لـ 3.7 **Description** توجد مشكلة في التصريح غير المناسب تسمح للمستخدمين المصرح لهم بصلاحيات منخفضة بالوصول إلى دفاتر حسابات التسوية. من خلال تقديم `accountId` عشوائي إلى نقطة النهاية GET '/account/findAccountInOutList'، يمكن للمهاجمين المقيدين بنطاق البيانات الشخصية أو القسم عرض أرقام الفواتير، والأطراف المقابلة، والمبالغ، والملاحظات الخاصة بمستخدمين آخرين داخل نفس المستأجر. **Recommendations** تحديث jshERP إلى إصدار أحدث من 3.6. كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقطة النهاية '/account/findAccountInOutList'.

**اسم البرنامج المصاب والإصدارات المتأثرة** yshop-crm الإصدارات السابقة لـ 2.1.4 **الوصف** يوجد خلل في التصريح يسمح لأي مستخدم مكتب خلفي (back-office) مصرح له بالموافقة على سجلات المستحقات أو رفضها. يحدث هذا لأن المعالج الخاص بنقطة النهاية "/admin-api/crm/contract-receivables/check" يفتقر إلى فحص `@PreAuthorize` كما أن فحوصات المعتمد في دالة `check()` ضمن `CrmContractReceivablesServiceImpl` معطلة (commented out). يمكن للمهاجم استغلال ذلك للموافقة على السجلات عن طريق المعرف (ID)، مما يؤدي إلى تضخيم قيمة `return money` للعقد وتزوير سجلات الموافقة. **التوصيات** تحديث yshop-crm إلى الإصدار 2.1.4 أو أحدث. كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقطة النهاية "/admin-api/crm/contract-receivables/check".

**اسم البرنامج المصاب والإصدارات المتأثرة** MoguBlog الإصدارات السابقة لـ 6.3 **Description** تحدث ثغرة المرجع المباشر غير الآمن للكائنات عندما يوفر التطبيق وصولاً مباشرًا إلى الكائنات بناءً على مدخلات المستخدم. يمكن للمسؤولين المصرح لهم حذف ملفات مسؤولين آخرين عبر نقاط النهاية "/networkDisk/deleteFile" و "batchDeleteFile". يحدث هذا لأن الدالة `deleteFile()` في `NetworkDiskServiceImpl` لا تتحقق من `uid` الملف أو المجلد مقابل `admin uid` الخاص بطلب المستخدم، مما يسمح بإزالة الكائنات المخزنة من التخزين المحلي أو Qiniu أو MinIO. **Recommendations** تحديث MoguBlog إلى إصدار أحدث من 6.2. تقييد الوصول إلى نقاط النهاية "/networkDisk/deleteFile" و "batchDeleteFile" لتقليل مخاطر حذف الملفات غير المصرح به.

**اسم البرنامج المصاب والإصدارات المتأثرة** jshERP الإصدارات السابقة لـ 3.7 **الوصف** يوجد خلل في تجاوز الصلاحيات يسمح للمستخدمين المصرح لهم بالوصول إلى بيانات مستودعات غير مخصصة لهم. يحدث هذا عندما تكون قيود المستودعات `depot flag` مفعلة، مما يتيح للمهاجمين تحديد معرفات مستودعات عشوائية عبر معاملات الطلب `depotId` أو `depotIds`. يمكن استغلال ذلك من خلال نقاط النهاية مثل '/depotItem/getMaterialDepotStockByParam' لقراءة مستويات المخزون، وأرقام الدفعات، وأرقام المبيعات، وبنود الفواتير المسعرة داخل المستأجر. **التوصيات** تحديث jshERP إلى إصدار أحدث من 3.6. تجنب استخدام المعاملات `depotId` و `depotIds` في نقطة النهاية '/depotItem/getMaterialDepotStockByParam' حتى يتم تحديث النظام.

**اسم البرنامج المصاب والإصدارات المتأثرة** برنامج jshERP الإصدارات السابقة لـ 3.7 **الوصف** يسمح تجاوز تفويض للمستخدمين المصرح لهم بإنشاء فواتير معتمدة مسبقاً. من خلال إرسال طلب إلى نقطة النهاية "/depotHead/addDepotHeadAndDetail" وتعيين المتغير `status` على القيمة 1، يمكن للمستخدمين تخطي فحوصات أذونات التدقيق وسير عمل الموافقات متعددة المستويات. يؤدي هذا الإجراء إلى إنشاء فواتير مدققة تؤثر على المخزون واستعلامات التقارير. **التوصيات** تحديث jshERP إلى إصدار أحدث من 3.6. كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقطة النهاية "/depotHead/addDepotHeadAndDetail" أو مراقبة المعلمة `status` بحثاً عن قيم غير مصرح بها.

**اسم البرنامج المصاب والإصدارات المتأثرة** lamp-cloud الإصدارات السابقة لـ 5.10.2 **Description** تحدث ثغرة المرجع المباشر غير الآمن للكائنات عندما يوفر التطبيق وصولاً مباشرًا إلى الكائنات بناءً على مدخلات المستخدم. يمكن للمستخدمين المصرح لهم الحصول على روابط تخزين لملفات مستخدمين آخرين عن طريق تقديم معرفات ملفات عشوائية. يحدث هذا لأن المعالج `findUrlById()` في `FileAnyoneController` لا يتحقق من ملكية الملف، مما يسمح للمهاجمين باسترداد روابط الوصول وقراءة المرفقات المرفوعة. **Recommendations** تحديث lamp-cloud إلى الإصدار 5.10.2 أو أحدث. كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى دالة `findUrlById()` داخل `FileAnyoneController`.

**اسم البرنامج المصاب والإصدارات المتأثرة** yshop-crm الإصدارات السابقة لـ 2.1.4 **الوصف** توجد مشكلة في فقدان التصريح تسمح لأي مستخدم مكتب خلفي (back-office) مصرح له بالموافقة على العقود أو رفضها. يحدث هذا لأن `CrmContractController` يفتقر إلى التعليق التوضيحي `@PreAuthorize` كما أن فحوصات المعتمد معطلة (commented out). يمكن للمهاجم استغلال ذلك عن طريق استدعاء نقطة النهاية POST '/admin-api/crm/contract/check' لتعديل بيانات صفقات ومشتريات العملاء أو إعادة المنتجات إلى المخزون. **التوصيات** تحديث yshop-crm إلى الإصدار 2.1.4 أو إصدار أحدث. كإجراء مؤقت، قم بتقييد الوصول إلى نقطة النهاية '/admin-api/crm/contract/check' للموظفين المصرح لهم فقط.

**اسم البرنامج المصاب والإصدارات المتأثرة** MoguBlog الإصدارات السابقة لـ 6.3 **الوصف** توجد ثغرة تؤدي إلى كشف المعلومات تسمح للمستخدمين ذوي الصلاحيات المنخفضة في الواجهة الأمامية بقراءة بيانات اعتماد النظام عبر نقطة النهاية 'getSystemConfig'. يمكن للمهاجمين استخدام رمز جلسة قارئ عادي لاسترداد بيانات SystemConfig غير المصفاة، مما يكشف عن كلمات مرور صندوق بريد SMTP ومفاتيح سرية لـ MinIO و Qiniu. **التوصيات** تحديث MoguBlog إلى إصدار أحدث من 6.2. تقييد الوصول إلى نقطة النهاية 'getSystemConfig' لمنع استرداد بيانات تكوين النظام بشكل غير مصرح به.

**اسم البرنامج المصاب والإصدارات المتأثرة** MoguBlog الإصدارات السابقة لـ 6.3 **الوصف** تحدث ثغرة المرجع المباشر غير الآمن للكائنات عندما يوفر التطبيق وصولاً مباشرًا إلى الكائنات بناءً على مدخلات المستخدم. يمكن للمسؤولين المصرح لهم إدراج ملفات القرص الشبكي التابعة لمسؤولين آخرين عبر نقطة النهاية 'POST /networkDisk/getFileList'. يقوم النظام بتصفية الطلبات حسب الحالة أو نوع الملف أو `filePath` ولكنه لا يقوم بالتصفية حسب `admin uid` مما يسمح للمهاجمين بالحصول على أسماء الملفات وروابط التنزيل الخاصة بمسؤولين آخرين. **التوصيات** تحديث MoguBlog إلى إصدار أحدث من 6.2. تقييد الوصول إلى نقطة النهاية 'POST /networkDisk/getFileList' لمنع إدراج الملفات غير المصرح به.

**اسم البرنامج المصاب والإصدارات المتأثرة** jshERP الإصدارات السابقة لـ 3.7 **الوصف** يوجد خلل في التصريح ضمن LogController يسمح لأي مستخدم مصادق عليه بتزوير أو تعديل أو حذف إدخالات سجل التدقيق. يمكن للمستخدمين ذوي الصلاحيات المنخفضة التلاعب بالسجلات لإخفاء نشاطهم من خلال استدعاء نقاط النهاية التالية لواجهة برمجة التطبيقات (API): '/log/add' و '/log/update' و '/log/delete' و '/log/deleteBatch'. يتيح ذلك تزوير الإدخالات وإعادة كتابة حقلي `user` و `IP`. **التوصيات** تحديث jshERP إلى إصدار أحدث من 3.6. قصر الوصول إلى نقاط النهاية '/log/add' و '/log/update' و '/log/delete' و '/log/deleteBatch' على المسؤولين المصرح لهم فقط.

**اسم البرنامج المصاب والإصدارات المتأثرة** jshERP الإصدارات السابقة لـ 3.7 **الوصف** توجد مشكلة في نقص التصريح في LogController. يسمح هذا لأي مستخدم مصرح له، بما في ذلك المستخدمون ذوو الصلاحيات المنخفضة، بالوصول إلى سجل تدقيق عمليات المستأجر. من خلال إرسال طلبات GET إلى نقاط النهاية '/log/list' أو '/log/info'، يمكن للمهاجم عرض معلومات حساسة مثل أسماء تسجيل دخول المستخدمين الآخرين، وعناوين IP للعملاء، والإجراءات التي تم تنفيذها. **التوصيات** تحديث jshERP إلى إصدار أحدث من 3.6. كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقاط النهاية '/log/list' و '/log/info'.

**اسم البرنامج المصاب والإصدارات المتأثرة** برنامج jshERP الإصدارات السابقة لـ 3.7 **Description** يسمح تجاوز في التفويض للمستخدمين المصرح لهم، والمقيدين ببيانات شخصية أو بيانات القسم، بالوصول إلى فواتير مستخدمين آخرين. من خلال تضمين `purchaseStatus=0` في JSON البحث المرسل إلى نقطة النهاية 'GET /depotHead/list'، تقوم الدالة `DepotHeadService.select()` بإلغاء تصفية المنشئ، مما يؤدي إلى كشف جميع فواتير المشتريات والمبيعات والمخزون الخاصة بالمستأجر بالكامل. **Recommendations** تحديث jshERP إلى إصدار أحدث من 3.6. كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقطة النهاية 'GET /depotHead/list' أو تجنب استخدام المعلمة `purchaseStatus` في طلبات البحث.

**اسم البرنامج المصاب والإصدارات المتأثرة** jshERP الإصدارات السابقة لـ 3.7 **Description** توجد مشكلة في التصريح غير الصحيح في نقطة النهاية GET '/supplier/exportExcel'. يسمح هذا للمستخدمين المصرح لهم بتجاوز قيود نطاق بيانات الدور التي يتم فرضها عادةً بواسطة نقطة النهاية '/supplier/list'. يمكن للمستخدمين المقيدين بالبيانات الشخصية أو بيانات القسم تصدير جميع سجلات الموردين والعملاء والأعضاء، مما يؤدي إلى كشف جهات الاتصال وأرقام الهواتف والأرقام الضريبية والحسابات المصرفية والأرصدة. **Recommendations** تحديث jshERP إلى إصدار أحدث من 3.6. كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقطة النهاية '/supplier/exportExcel' للمستخدمين الذين لديهم أدوار ذات نطاق بيانات محدود.

**اسم البرنامج المصاب والإصدارات المتأثرة** TDuck survey form الإصدارات السابقة لـ 6.0 **Description** يحدث مرجع كائن مباشر غير آمن (IDOR) عندما يوفر التطبيق وصولاً مباشرًا إلى الكائنات بناءً على مدخلات المستخدم. يمكن للمستخدمين المصرح لهم حذف عمليات إرسال النماذج الخاصة بمستخدمين آخرين عن طريق تقديم معرفات إرسال عشوائية. يتم ذلك من خلال وضع `formKey` شخصي في المسار وتكرار معرفات الإرسال المتسلسلة في جسم الطلب لحذف عمليات الإرسال نهائيًا على مستوى المنصة. **Recommendations** التحديث إلى إصدار أحدث من 6.0.

**اسم البرنامج المصاب والإصدارات المتأثرة** TDuck survey form الإصدارات السابقة لـ 6.1 **Description** يسمح خلل في التحكم في الوصول للمستخدمين المصرح لهم بإضافة حقول إلى نماذج مستخدمين آخرين. من خلال إرسال طلب إلى endpoint "POST /user/form/item/batch/create"، يمكن للمهاجم إرسال مصفوفة يشير عنصرها الأول إلى النموذج الخاص به والعناصر اللاحقة إلى `formKey` الخاص بالضحية. يؤدي ذلك إلى حقن حقول يختارها المهاجم في صفحة التعبئة العامة الخاصة بالضحية. **Recommendations** تحديث TDuck survey form إلى إصدار أحدث من 6.0. تقييد الوصول إلى endpoint "POST /user/form/item/batch/create" لمنع عمليات حقن الحقول غير المصرح بها.

**اسم البرنامج المصاب والإصدارات المتأثرة** TDuck survey form الإصدارات السابقة لـ 6.1 **الوصف** يوجد خلل من نوع المرجع المباشر غير الآمن للكائنات (IDOR) في المعالج `saveFormTheme`. يسمح هذا للمستخدمين المصرح لهم بتجاوز وتعديل سمات نماذج المستخدمين الآخرين. يمكن للمهاجم إرسال معرف سمة تسلسلي تابع لنموذج آخر مع `formKey` الخاص به لاستبدال الألوان وعناوين URL للصور الخاصة بالضحية، مما يؤدي إلى إزالة السمة الأصلية. **التوصيات** تحديث TDuck survey form إلى إصدار أحدث من 6.0.

**اسم البرنامج المصاب والإصدارات المتأثرة** lamp-cloud الإصدارات السابقة لـ 5.10.2 **Description** يسمح مرجع كائن مباشر غير آمن للمستخدمين المصرح لهم بسرد مرفقات الملفات التابعة لكائنات أعمال أخرى. يحدث هذا عند تقديم `bizId` عشوائي إلى نقطة النهاية 'listFileByBizId'. يمكن أن يؤدي ذلك إلى استرداد أسماء الملفات، ومسارات التخزين، وتجزئة MD5، وعناوين URL المخزنة. في تكوينات التخزين المحلية (LOCAL) الافتراضية، يتم تقديم هذه الملفات بدون مصادقة تحت المسار '/anyTenant/file'. **Recommendations** تحديث lamp-cloud إلى الإصدار 5.10.2 أو أحدث. تقييد الوصول إلى نقطة النهاية 'listFileByBizId' لمنع استخدام قيم `bizId` غير المصرح بها.

yshop-crm through 2.1.3 contains a missing authorization vulnerability that allows any authenticated back-office user to approve or reject invoices via POST /admin-api/crm/invoice/check. The CrmInvoiceController check handler lacks @PreAuthorize and approver checks are commented out, letting attackers bypass the invoice approval workflow by supplying any invoice id.

**اسم البرنامج المصاب والإصدارات المتأثرة** برنامج jshERP الإصدارات السابقة لـ 3.7 **الوصف** يوجد خلل في التصريح ضمن معالج `updateUser` في `UserController`. يسمح هذا الخلل للمستخدمين المصرح لهم بتعيين أدوار عشوائية لأي مستخدم. يمكن للمهاجم الذي يمتلك صلاحيات منخفضة إرسال معرف المستخدم الخاص به مع `roleId` الخاص بمسؤول المستأجر لتصعيد صلاحياته أو تغيير أدوار مستخدمين آخرين داخل نفس المستأجر. **التوصيات** تحديث jshERP إلى إصدار أحدث من 3.6. كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى معالج `updateUser` في `UserController` لمنع تعيين الأدوار غير المصرح بها.