Yuvalmil

توجد ثغرة تنفيذ عن بُعد للكود حيث يتم تحديد الثقة في سياسات تقييم تكوين الأمان (SCA) بناءً على مسار الملف بدلاً من مصدر التكوين. يمكن للمهاجم الذي يتحكم في المدير كتابة ملفات سياسة غير موقعة في دليل `var/incoming` عبر قناة الترقية والإشارة إليها لتنفيذ فحوصات أوامر بصلاحيات root على الوكلاء.

يوجد ثغرة cross-site scripting مخزنة في معالجات سمات shortcode-core. يقوم فحص اكتشاف XSS فقط بتحديد الحمولة التي تحتوي على أقواس زاوية حرفية، مما يسمح لمعلمات shortcode بتجاوز عملية التحقق. يمكن للمستخدمين الذين لديهم صلاحية `admin.pages` حقن JavaScript خبيث من خلال سمات shortcode. يتم تنفيذ هذا السكريبت في متصفح أي مستخدم يعرض الصفحة، بما في ذلك المسؤولون، مما قد يؤدي إلى اختطاف الجلسة من خلال سرقة nonces (رموز فريدة تستخدم لمنع هجمات إعادة التشغيل) الخاصة بالمسؤول.

يفشل المكون الإضافي في التصريح بشكل صحيح بإنشاء مفتاح واجهة برمجة التطبيقات (API) وإلغائه. فهو يعترض مهام الإدارة `apiKeyGenerate` و`apiKeyRevoke` قبل تشغيل قائمة التحكم في الوصول (ACL) الخاصة بإدارة الحسابات، ويمنح التصريح للمتصل بناءً على إذن `admin.login` فقط، وهو الإذن الأساسي لكل مستخدم للوحة التحكم. وهذا يسمح لأي مستخدم لديه إذن `admin.login` بإنشاء مفتاح API دائم مرتبط بأي حساب. ويرث المفتاح المزور أذونات واجهة برمجة التطبيقات (API) للحساب المستهدف، مما قد يؤدي إلى انتحال هوية الحساب وتصعيد الامتيازات وصولاً إلى الاستيلاء الكامل على الحساب إذا كان الحساب المستهدف يتمتع بأذونات أوسع نطاقاً.

يمكن تنفيذ التعليمات البرمجية عن بُعد من خلال الدالة `Blueprint::dynamicData()` الموجودة في الملف `system/src/Grav/Common/Data/Blueprint.php`. تحدث هذه المشكلة لأن السلسلة القابلة للتنفيذ `Class::method` ووسائطها يتم تمريرها مباشرةً إلى `call user func array()` دون قائمة مسموح بها. يمكن للمستخدم المصادق عليه الذي يمتلك أذونات `admin.pages` أو `api.pages.write` إدراج توجيه قابل للتنفيذ ضار في إحدى الصفحات عبر المكون الإضافي الخاص بالنماذج. ثم يتم تنفيذ هذا الأمر بصفته مستخدم خادم الويب عندما يصل أي مستخدم، بما في ذلك الزوار غير المصادق عليهم، إلى الصفحة المتأثرة.