David Galeano

تحدث ثغرة «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة بسبب فشل الوحدة النمطية في تنقية اسم مصطلحات التصنيف الأصلية بشكل صحيح عند عرض الاقتراحات في القائمة المنسدلة لـ Tagify. وهذا يسمح للمهاجم الذي يمتلك أذونات لإنشاء أو تعديل مصطلحات التصنيف في قاموس مصطلحات بتنفيذ تعليمات جافا سكريبت تعسفية ضمن سياق جلسة عمل المستخدم.

لا تقوم وحدة Tagify الخاصة بـ Drupal بتنقية المدخلات التي يقدمها المستخدم بشكل صحيح قبل استخدامها في قوالب JavaScript داخل أداة Tagify. وهذا يسمح بتنفيذ تعليمات برمجية JavaScript عشوائية في متصفح المستخدم عند إنشاء المحتوى أو تعديله. تنبع المشكلة من عدم كفاية معالجة المدخلات أثناء إنشاء صفحة الويب، مما يؤدي إلى حدوث ثغرة «التنفيذ عبر المواقع» (XSS).

يوجد عيب في Drupal Tagify يسمح بـ Cross-Site Scripting (XSS). تحدث هذه المشكلة بسبب عدم معالجة المدخلات بشكل صحيح أثناء إنشاء صفحات الويب. قد تسمح هذه الثغرة للمهاجمين بحقن نصوص برمجية ضارة في صفحات الويب التي يشاهدها المستخدمون الآخرون.