Zolbooo

A path-traversal issue exists when a specially crafted non-string object is passed to the `moment.locale()` function. The internal guard assumes the input is a string; however, an object with a `match()` method that satisfies the check and a `toString()` method that returns a traversal path can reach an internal `require()` call with attacker-controlled path segments. This primarily affects server-side npm users who pass user-provided input directly to the function.

The software exposes the shared Buffer pool of Node.js to sandboxed code. This allows sandboxed code to acquire ArrayBuffers from small allocations to read and write to host-realm buffers. This issue can lead to the disclosure of host memory used by `Buffer.from`, `Buffer.concat`, and related allocations, resulting in sensitive data exposure and potential denial-of-service.

A sandbox escape exists when running on Node.js 26. The issue occurs because `WebAssembly.compileStreaming` and `WebAssembly.instantiateStreaming` can produce a raw host-realm Promise that rejects with a host-realm error object. By controlling `Symbol.species` via `Promise.prototype.finally`, sandbox code can obtain this raw host error, navigate from the host error constructor to the host Function constructor, and recover the host `process` object. This allows the attacker to gain host Node.js capabilities, such as access to host modules like `fs`, within the process running the sandbox. This escape is possible using a default `new VM()` sandbox and does not require NodeVM, require permissions, host object injection, or any unsafe configuration.

يمكن للمستخدم المصادق عليه الذي يمتلك أذونات لإنشاء سير العمل وتنفيذه أن ينجح في الهروب من بيئة الحماية (sandbox) داخل عقدة كود JavaScript. يحدث هذا لأن بيئة الحماية الخاصة بآلة افتراضية (VM) تفشل في تجميد `Function.prototype`، مما يمكّن المستخدم من التلاعب بها أثناء التنفيذ واستعادة مرجع إلى `globalThis` الخاص بالمضيف. يتطلب التنفيذ الناجح لسلسلة الاستغلال هذه تكوين وحدات نمطية محددة كعمليات استيراد مدرجة في قائمة المسموح بها في عملية النشر.

n8n هي منصة مفتوحة المصدر لأتمتة سير العمل. توجد ثغرة أمنية تسمح للمستخدم المصادق عليه الذي يتمتع بأذونات إنشاء أو تعديل سير العمل باستغلال تعبيرات مُعدلة داخل معلمات سير العمل لتشغيل أوامر نظامية تعسفية على النظام المضيف. تتجاوز هذه الثغرة الأمنية التصحيحات السابقة وتسمح بتنفيذ التعليمات البرمجية عن بُعد، مما قد يؤدي إلى سرقة بيانات الاعتماد والسيطرة الكاملة على النظام المضيف. يمكن استغلال «Webhooks» العامة لتشغيل التنفيذ عن بُعد.

تتعرض إصدارات Lodash 4.17.23 والإصدارات الأقدم منها لخطر «تلوث النماذج الأولية» (prototype pollution) من خلال الدالتين ` .unset` و` .omit`. لم يعالج الإصلاح الأولي المشكلة بشكل كامل، حيث يمكن للمهاجم تجاوز الفحص باستخدام أجزاء مسار مغلفة بمصفوفة. وهذا يسمح بحذف الخصائص من النماذج الأولية المدمجة مثل Object.prototype و Number.prototype و String.prototype. تسمح هذه المشكلة بحذف خصائص النموذج الأولي ولكنها لا تسمح بالكتابة فوق سلوكها الأصلي.