Gikyon

Horilla هو نظام لإدارة الموارد البشرية (HRMS). توجد ثغرة أمنية من نوع «البرمجة النصية عبر المواقع المخزنة» (XSS) في محرر تعليقات التذاكر للإصدارات الأقدم من 1.4.0. يمكن للمستخدم المصادق عليه ذي الصلاحيات المحدودة تنفيذ تعليمات برمجية JavaScript تعسفية في متصفح المسؤول. قد يؤدي ذلك إلى سرقة ملفات تعريف الارتباط ورموز CSRF، مما قد يؤدي بدوره إلى اختطاف الجلسة. تؤثر هذه المشكلة على وظيفة محرر تعليقات التذاكر.

يحتوي Horilla، وهو نظام لإدارة الموارد البشرية (HRMS)، على ثغرة تتمثل في أن عملية تحميل الملفات تفتقر إلى التحقق من صحة البيانات من جانب الخادم. يمكن التحايل على التحقق من صحة البيانات من جانب العميل، مما يسمح للمهاجم بتحميل مستند HTML قابل للتنفيذ. وعندما يقوم مستخدم ذو امتيازات بعرض هذا الملف، يتم تنفيذ البرامج النصية المضمنة، مما يؤدي إلى إرسال ملفات تعريف الارتباط الخاصة بالجلسة أو بيانات اعتماد أخرى إلى نقطة نهاية يسيطر عليها المهاجم. يمكن للمهاجم بعد ذلك استخدام بيانات الاعتماد هذه للتظاهر بأنه المسؤول. تتضمن سلسلة الهجوم المعرضة للخطر تحميل ملفًا ثم عرض المحتوى الذي تم تحميله لاحقًا بواسطة مستخدم ذي صلاحيات. يعتمد الهجوم على التحايل على عمليات التحقق من جانب العميل واستغلال عدم فرض التحقق من جانب الخادم.

Horilla هو نظام لإدارة الموارد البشرية (HRMS). تسمح المعالجة غير الملائمة في التطبيق بـ «التنفيذ عبر المواقع» (XSS) من خلال ملفات SVG التي يتم تحميلها وعلامات `<embed>` المسموح بها. وقد يؤدي ذلك إلى تنفيذ جافا سكريبت عندما يقوم المستخدمون بعرض المحتوى المتأثر، مثل الإعلانات، مما قد يؤدي إلى الاستيلاء على حساب إداري.