Diblei

يسمح GroupOffice للمستخدمين المصادق عليهم بالاحتفاظ بإعدادات قديمة عشوائية لأي `user id` من خلال نقطة النهاية ’index.php?r=core/saveSetting‘. يقوم مستقبل على جانب العميل في وحدة البريد الإلكتروني بإدخال الإعداد `email font size` مباشرةً في JavaScript دون التهرب. يمكن لمستخدم مصادق عليه ذي امتيازات منخفضة استغلال هذه الثغرات عن طريق استبدال إعداد `email font size` الخاص بالمسؤول بحمولة JavaScript، مما يؤدي إلى تشغيل برمجة عبر المواقع (XSS) المخزنة — وهي تقنية يتم فيها تخزين البرامج النصية الخبيثة بشكل دائم على الخادم المستهدف — في متصفح المسؤول عند قيام عميل الويب بتحميل ملف ’views/Extjs3/modulescripts.php‘.

Group-Office هو أداة لإدارة علاقات العملاء وبرامج العمل الجماعي مخصصة للمؤسسات. توجد ثغرة أمنية تتعلق بحقن SQL بعد المصادقة في نقطة نهاية JMAP `Contact/query`. تتيح هذه الثغرة لأي مستخدم تمت مصادقته ولديه وصول أساسي إلى دفتر العناوين استخراج بيانات عشوائية من قاعدة البيانات، بما في ذلك رموز الجلسات النشطة للمستخدمين الآخرين. ويؤدي الاستغلال الناجح لهذه الثغرة إلى الاستيلاء الكامل على حساب أي مستخدم، بما في ذلك مسؤول النظام، دون معرفة كلمة المرور الخاصة به. تؤثر هذه الثغرة على نقطة نهاية واجهة برمجة التطبيقات (API) `Contact/query` وتسمح بالوصول إلى البيانات من خلال حقن SQL عبر واجهة JMAP.