Yzeirnials

توجد مشكلة تتعلق بـ«الإشارة المباشرة غير الآمنة إلى الكائن» (IDOR) في نقطة النهاية `/api/v1/responses`. ويحدث ذلك لأن الدالة `get flow by id or endpoint name()` لا تتحقق مما إذا كان المستخدم المصادق عليه هو مالك التدفق عند الوصول إليه عبر UUID. يمكن للمهاجم المصادق عليه تنفيذ أي تدفق مملوك لمستخدم آخر من خلال تحديد معرّف تدفق الضحية في المعلمة `model`. قد يؤدي ذلك إلى تنفيذ سير عمل غير مصرح به، واستهلاك موارد المستخدمين الآخرين، والوصول إلى البيانات الحساسة التي تتم معالجتها بواسطة هذه السير.

يُتيح موجه `/api/v1/monitor` سبع نقاط نهاية تسمح بعمليات القراءة والكتابة والحذف على الموارد المملوكة للمستخدم، بما في ذلك الرسائل والجلسات ومخرجات البناء وسجلات معاملات نماذج اللغة الكبيرة (LLM). يفشل النظام في التحقق مما إذا كان الطالب المصادق عليه يمتلك المورد المستهدف، مما يؤدي إلى ثغرة «الإشارة المباشرة غير الآمنة إلى الكائن» (IDOR)، والمعروفة أيضًا باسم «التفويض المكسور على مستوى الكائن» (BOLA). يمكن للمستخدم المصادق عليه قراءة بيانات مستخدم آخر أو تعديلها أو إعادة تسميتها أو حذفها نهائيًا من خلال تقديم معرّف المورد المستهدف أو `flow id`. تشمل التفاصيل الفنية نقاط النهاية المعرضة للخطر التالية: - ’GET /api/v1/monitor/builds‘ و ’DELETE /api/v1/monitor/builds‘ باستخدام المتغير `flow id`. - ’DELETE /api/v1/monitor/messages‘ باستخدام المتغير `message ids`. - ’PUT /api/v1/monitor/messages/{message id}‘ باستخدام المتغير `message id`. - ’PATCH /api/v1/monitor/messages/session/{old session id}‘ باستخدام المتغير `old session id`. - ’DELETE /api/v1/monitor/messages/session/{session id}‘ باستخدام المتغير `session id`. - ’GET /api/v1/monitor/transactions‘ باستخدام المتغير `flow id`.