Alfaz Hossain

يمكن للعملاء المصادق عليهم إدخال حمولات HTML ضارة عبر أنظمة الدردشة ورسائل تذاكر الدعم. يحدث هذا بسبب العرض غير المُعقّم عبر توجيه `v-html` في الملفات التالية: `Messages.vue`، و`RightChatSidebar.vue`، و`SupportTicketMessages.vue`، و`SupportTicketDetails.vue`. يمكن للمهاجم إرسال محتوى رسالة مُصمَّم خصيصًا لتنفيذ تعليمات جافا سكريبت تعسفية في متصفح مالك المتجر أو المسؤول الذي يشاهد الرسالة، مما قد يؤدي إلى سرقة ملفات تعريف الارتباط الخاصة بالجلسة والاستيلاء على الحساب.

يوجد ثغرة حقن SQL غير مصدقة في واجهة برمجة تطبيقات (API) قائمة المنتجات. تحدث هذه المشكلة لأن المعلمة `rating` في نقطة النهاية ’products‘ يتم ربطها مباشرةً بجملة HAVING في قاعدة بيانات MySQL دون تحديد المعلمات داخل ملف `ProductController.php`. وهذا يسمح للمهاجمين بتنفيذ حقن SQL أعمى قائم على الوقت — وهي تقنية تُستخدم لاستنتاج البيانات من خلال مراقبة الوقت الذي يستغرقه الخادم للرد على استعلامات محددة — لاستخراج قاعدة البيانات بالكامل، بما في ذلك بيانات اعتماد المستخدم وتجزئات كلمات مرور المسؤول. بالإضافة إلى ذلك، ونظرًا لأن اتصال قاعدة البيانات يعمل بصفة الجذر (root)، فهناك احتمال للوصول غير المصرح به إلى نظام الملفات.

توجد مشكلة تتمثل في أن واجهة المستخدم تعرض معلومات مهمة بشكل خاطئ، مما قد يسمح لمهاجم غير مصرح له بالقيام بعمليات انتحال الهوية عبر الشبكة.

يؤدي عرض خاطئ للمعلومات الحساسة في واجهة المستخدم (UI) إلى تمكين مهاجم غير مصرح له من تنفيذ عملية انتحال عبر الشبكة. ومن خلال استخدام عنوان URL مُصمم خصيصًا، يمكن للمهاجم التلاعب بالشاشة لخداع المستخدم.