Alan-Agius4

توجد مشكلة في البرمجة النصية عبر المواقع (XSS) في التبعية لمحاكاة DOM `domino` الخاصة بـ `@angular/platform-server` أثناء تسلسل عناصر النص الخام مثل `<script>` و`<style>` و`<iframe>`. تنبع المشكلة من خطأ في محاذاة فهرس Unicode في منطق التهرب. نظرًا لأن JavaScript يحسب أطوال السلاسل والفهارس باستخدام وحدات الترميز UTF-16، فإن الأحرف الفلكية (مثل الرموز التعبيرية) تشغل وحدتين من الترميز. وعندما يحتوي النص الديناميكي على هذه الأحرف قبل علامة الإغلاق، يتغير حساب إزاحة الفهرس، مما يتسبب في فشل `domino` في التهرب من علامة الإغلاق. يمكن للمهاجم تزويد حمولة تحتوي على حرف Unicode فلكي وعلامة إغلاق للخروج من سياق النص الخام وتنفيذ كتلة `<script>` لاحقة أثناء العرض من جانب الخادم (SSR)، مما يؤدي إلى ثغرة XSS من نفس المنشأ.

يقوم `HttpTransferCache` في Angular بتخزين طلبات HTTP مؤقتًا أثناء العرض من جانب الخادم (SSR) لإعادة استخدامها أثناء الترطيب من جانب العميل، مما يمنع الطلبات الزائدة على جانب العميل. يتم تخزين هذه الاستجابات في `TransferState` باستخدام مفاتيح التخزين المؤقت التي يتم إنشاؤها عن طريق تجزئة خصائص الطلب، بما في ذلك الطريقة ونوع الاستجابة وعنوان URL المُعَيَّن والنص المتسلسل ومعلمات الاستعلام المُرتبة. يستخدم النظام هاش متجددًا ضعيفًا من 32 بت على غرار DJB2، والذي يتميز بمساحة هاش صغيرة تسمح بحدوث تضارب في التجزئة. يمكن للمهاجم تحديد سلسلة معلمة استعلام، مثل `q=aaCAZMMM`، تنتج نفس التجزئة التي تنتجها نقطة نهاية حساسة، مثل ’/api/user/profile‘. إذا زار الضحية رابطًا مُصممًا خصيصًا، فإن عملية SSR تُنفذ كلا الطلبين، ويقوم الرد الذي يتحكم فيه المهاجم بالكتابة فوق الرد الحساس الموجود في ذاكرة التخزين المؤقتة `TransferState`. يؤدي هذا إلى «تسميم الحالة»، حيث يعمل التطبيق ببيانات مزورة قد تتجاوز الضوابط الأمنية أو تتسبب في حدوث «التنفيذ البرمجي عبر المواقع» (XSS) القائم على DOM، وإلى «تسرب المعلومات»، حيث قد يتم الكشف عن البيانات الحساسة.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Angular من 18.2.14 حتى 18.2.21 إصدارات Angular من 19.2.15 حتى 19.2.16 إصدارات Angular 20.3.0 إصدارات Angular من 21.0.0-next.3 الوصف: يستخدم Angular حاوية DI (حقن التبعية) للحفاظ على الحالة المحددة للطلب أثناء العرض على جانب الخادم. ولأسباب تاريخية، كان يتم تخزين هذه الحاوية كمتغير عالمي في نطاق وحدة JavaScript. قد تتشارك الطلبات المتزامنة عن غير قصد حالة المُحقن العالمي أو تقوم بالكتابة فوقها، مما قد يؤدي إلى استجابة أحد الطلبات ببيانات مخصصة لطلب آخر، مما ينتج عنه تسرب للبيانات أو الرموز المميزة. كانت واجهات برمجة التطبيقات `bootstrapApplication` و`getPlatform` و`destroyPlatform` معرضة للخطر. التوصيات: إصدارات Angular من 18.2.14 حتى 18.2.21: قم بالتحديث إلى الإصدار 18.2.21. إصدارات Angular من 19.2.15 حتى 19.2.16: قم بالتحديث إلى الإصدار 19.2.16. إصدارات Angular 20.3.0: قم بالتحديث إلى الإصدار 20.3.0. إصدارات Angular 21.0.0-next.3: لا توجد توصية محددة متاحة. كحل بديل، قم بتعطيل SSR عبر مسارات الخادم أو خيارات أداة البناء. كحل بديل، قم بإزالة أي سلوك غير متزامن من وظائف `bootstrap` المخصصة. كحل بديل، قم بإزالة استخدامات `getPlatform()` في كود التطبيق. كحل بديل، تأكد من أن بنية الخادم تحدد `ngJitMode` على false.