Foobar7

توجد ثغرة أمنية تتعلق بالبرمجة النصية عبر المواقع (XSS) في عنصر واجهة المستخدم «المدونات» (Blogs). لا يتضمن عنصر واجهة المستخدم هذا السمة sandbox للعناصر `<iframe>`، مما قد يسمح للمهاجمين بالوصول إلى الصفحة الأم عبر البرامج النصية والروابط الموجودة داخل الإطار. ويمكن استغلال هذه الثغرة عن طريق إدخال عنصر `<iframe>` مُعدَّل في حقل النص «Content» الخاص بإحدى مدخلات المدونة.

توجد مشكلة تتعلق بـ «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR) تسمح للمستخدمين المصادق عليهم عن بُعد في مثيل افتراضي واحد بتعيين مؤسسة لمستخدم في مثيل افتراضي آخر. ويتم ذلك من خلال التلاعب بالمعلمة ` com liferay users admin web portlet UsersAdminPortlet addUserIds`.

يوجد مرجع غير آمن للكائن المباشر (IDOR) في ميزة «المنشورات». وهذا يسمح للمهاجمين المصادق عليهم عن بُعد بعرض صفحة تحرير إحدى المنشورات من خلال التلاعب بالمعلمة ` com liferay change tracking web portlet PublicationsPortlet ctCollectionId`.

توجد ثغرة أمنية من نوع «الإشارة غير الآمنة إلى الكائن المباشر» (IDOR) في Liferay Portal وDXP. وهذا يسمح لمستخدم تمت مصادقته عن بُعد بالوصول إلى عناوين حسابات مختلفة. وترتبط المشكلة بالمعلمة ` com liferay account admin web internal portlet AccountEntriesAdminPortlet addressId`.

توجد ثغرة أمنية من نوع «المرجع غير الآمن المباشر للكائنات» (IDOR) في Liferay DXP تتيح للمستخدمين البعيدين المصادق عليهم الوصول إلى عناوين التسليم الخاصة بمثيلات افتراضية مختلفة. ويحدث ذلك من خلال المعلمة `commerceOrderId` في المكون ` com liferay commerce order web internal portlet CommerceOrderPortlet`.

توجد مشكلة تتعلق بـ «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR) في ميزة «المنشورات». تتيح هذه المشكلة للمهاجمين المصادق عليهم عن بُعد عرض تعليقات المنشورات وتحريرها عبر عناوين URL مصممة خصيصًا. تنشأ المشكلة عن عمليات فحص غير صحيحة لأذونات المستخدم. المعلمة ` com liferay change tracking web portlet PublicationsPortlet value` متورطة في هذه الثغرة الأمنية.

يحتوي البرنامج على ثغرات متعددة في البرمجة النصية عبر المواقع (XSS) المخزنة. تسمح هذه الثغرات لمستخدم بعيد معتمد بإدخال نصوص برمجية ويب أو HTML عشوائية عبر حمولة مصممة خصيصًا. يتم إدخال الحمولة في حقل النص الخاص بالاسم الأول أو الاسم الأوسط أو الاسم الأخير للمستخدم. وقد يؤثر ذلك على العديد من عناصر واجهة المستخدم والتطبيقات، بما في ذلك عنصر واجهة المستخدم الخاص بتعليقات الصفحة، وتعليقات منشورات المدونة، وتعليقات المستندات والوسائط، ورسائل لوحة الإعلانات، وتعليقات صفحات ويكي، وعناصر واجهة المستخدم/التطبيقات الأخرى التي تدعم الإشارات.

توجد ثغرة أمنية من نوع البرمجة النصية عبر المواقع (XSS) المخزنة في صفحة عرض الطلبات في Commerce بالبرنامج المتأثر. وهذا يسمح لمهاجم عن بُعد بإدخال نصوص برمجية ويب تعسفية أو كود HTML عن طريق إدخال حمولة مُعدلة في حقل النص «Name» الخاص بحساب ما. ومن ثم يمكن تنفيذ الكود المُدرج عندما يقوم مستخدمون آخرون بعرض صفحة الطلبات.

توجد ثغرة أمنية تتعلق بتزوير الطلبات بين المواقع (CSRF). تتيح هذه الثغرة للمهاجمين عن بُعد إضافة تعليقات على المنشورات وتحريرها. لا تتطلب الوظيفة المتأثرة المصادقة، مما قد يتيح القيام بأعمال غير مصرح بها.

توجد ثغرة أمنية تتعلق بالبرمجة النصية عبر المواقع (XSS) في منشئ عمليات سير العمل. تتيح هذه الثغرة للمهاجمين البعيدين المصادق عليهم حقن نصوص برمجية ويب أو HTML عشوائية عبر مدخلات تم التلاعب بها داخل تعريف سير العمل.

توجد ثغرة أمنية من نوع البرمجة النصية عبر المواقع (XSS) المخزنة في صفحة «الارتباطات» ضمن «إعدادات الحساب». تتيح هذه الثغرة للمهاجمين المصادق عليهم حقن نصوص برمجية ويب أو كود HTML تعسفي عبر حمولة مصممة خصيصًا. يتم حقن الحمولة في حقل النص «الاسم» الخاص بالحساب.

يحتوي البرنامج على ثغرات أمنية متعددة تتعلق بـ «البرمجة النصية عبر المواقع» (XSS) مرتبطة بأحداث التقويم. تسمح هذه الثغرات للمهاجمين عن بُعد بحقن نصوص برمجية ويب أو HTML عشوائية عبر حمولات مُعدلة. نقاط الحقن هي حقول النص (1) الاسم، (2) الاسم الأوسط و(3) اللقب.

يوجد ثغرة أمنية من نوع البرمجة النصية عبر المواقع (XSS) المخزنة في النماذج داخل البرنامج. تتيح هذه الثغرة للمهاجمين عن بُعد حقن نصوص برمجية ويب أو HTML عشوائية عبر حمولة مصممة خصيصًا. يتم حقن الحمولة في نموذج يستخدم حقلًا من نوع النص المنسق.

توجد ثغرة أمنية من نوع البرمجة النصية عبر المواقع (XSS) المخزنة في منتجات من نوع المخططات داخل Commerce في Liferay Portal وDXP. وهذا يسمح للمهاجمين عن بُعد بحقن نصوص برمجية ويب أو كود HTML تعسفي عبر حمولة مصممة خصيصًا داخل ملف SVG. تؤثر هذه الثغرة الأمنية على مكونات مخططات SVG.

تحتوي أداة «الإشعارات» (Notifications) على ثغرات أمنية متعددة تتعلق بالبرمجة النصية عبر المواقع (XSS). تسمح هذه الثغرات للمهاجمين عن بُعد بحقن نصوص برمجية ويب أو HTML عشوائية عبر حمولات مُعدلة. تشمل نقاط الحقن حقل النص «First Name»، وحقل النص «Middle Name»، وحقل النص «Last Name»، وحقل النص «Other Reason» عند الإبلاغ عن محتوى، واسم المحتوى المبلغ عنه. قد يؤدي الاستغلال الناجح إلى تمكين المهاجم من تنفيذ نصوص برمجية ضارة في سياق متصفح المستخدم.

توجد ثغرة أمنية تتعلق بالبرمجة النصية عبر المواقع (XSS) في عنصر واجهة المستخدم «جدول مقارنة المنتجات» في Commerce. تتيح هذه الثغرة للمهاجمين عن بُعد حقن نصوص برمجية ويب أو HTML عشوائية عبر حمولة معالجة. يتم حقن الحمولة في حقل النص «اسم المنتج» في Commerce.

يحتوي البرنامج على ثغرات أمنية متعددة تتعلق بالبرمجة النصية عبر المواقع (XSS) المخزنة. وتسمح هذه الثغرات للمهاجمين عن بُعد بحقن نصوص برمجية ويب أو HTML عشوائية. ويحدث الحقن عن طريق حمولة مُعدلة في حقل النص «اسم الشروط والأحكام». وعلى وجه التحديد، يستهدف الحقن «شروط الدفع» و«شروط التسليم» في صفحة عرض الطلب.

توجد ثغرة أمنية تتعلق بـ «البرمجة النصية عبر المواقع» (XSS) في عنصر واجهة المستخدم «Commerce Search Result». تتيح هذه الثغرة للمهاجمين عن بُعد حقن نصوص برمجية ويب أو HTML عشوائية عبر حمولة مصممة خصيصًا. يتم حقن الحمولة في حقل النص «اسم المنتج» في Commerce.

تتعرض أداة «الملف الشخصي» (Profile) لعملية تلاعب تسمح للمستخدمين البعيدين المصادق عليهم بتغيير امتداد الملف عند تنزيل ملف vCard. ويحدث ذلك لأن الأداة تضمّن اسم المستخدم في رأس «Content-Disposition».

يوجد عيب في Liferay Portal وDXP يسمح للمستخدمين المصادق عليهم عن بُعد بالوصول إلى أحداث التدقيق الخاصة بمثيل افتراضي مختلف. يحدث هذا بسبب حالة «الإشارة المباشرة إلى كائن غير آمن» (IDOR). يرتبط هذا العيب بالمعلمة ` com liferay portal security audit web portlet AuditPortlet auditEventId`.