K08Uk0Vu

توجد ثغرة cross-site scripting مخزنة تتيح لمديري المكتب الخلفي المصرح لهم بصلاحيات تحديث المتجر حقن النصوص البرمجية. يحدث هذا من خلال تحميل صور SVG غير مصفاة عبر المتغيرات `logo file` أو `banner file`. يتم تقديم النصوص البرمجية الخبيثة، باستخدام حمولة onload، من نقطة النهاية '/admin/store-media/logo' أو دليل 'public cache/images/store/'، مما يسمح بتنفيذها ضد الزوار والمديرين ذوي الصلاحيات الأعلى.

توجد ثغرة تزوير الطلبات عبر المواقع حيث تقبل نقاط النهاية '/admin/product/combinations/update' و '/admin/product/default-price/update' طلبات GET دون التحقق من رموز anti-CSRF. يتيح ذلك للمهاجم خداع مسؤول نظام مسجل الدخول للنقر على رابط مفخخ لتعديل تفاصيل تركيبات المنتجات، بما في ذلك الأسعار والمخزون والوزن و EAN وعلامات البيع، مما قد يؤدي إلى تصفير الأسعار المحذوفة.

توجد ثغرة cross-site scripting مخزنة في دالة `getSummary()` ضمن فئة `ForSomeCustomers`. يمكن للمهاجمين غير المصرح لهم حقن نصوص برمجية خبيثة من خلال أسماء العملاء غير المفلترة. ومن خلال التسجيل باستخدام حمولة نصية برمجية كاسم لهم، يتم تنفيذ النص عندما يقوم المسؤولون بعرض الكوبونات ذات الصلة، مما قد يسمح بسرقة رموز CSRF (تزوير الطلبات عبر المواقع)—وهي تقنية تستخدم لانتحال شخصية المستخدم—لإنشاء حسابات مسؤول غير مصرح بها.

توجد ثغرة تزوير الطلبات عبر المواقع (CSRF) في المكتب الخلفي (back office)، حيث تتسرب رموز CSRF الخاصة بالجلسة عبر سلاسل استعلام URL. يسمح هذا للمهاجمين بتزوير إجراءات إدارية من خلال إعادة استخدام الرموز المسربة أو استهداف دالتي `setToggleVisibilityAction()` و `updatePositionAction()` غير المحميتين. وبناءً على ذلك، يمكن خداع المسؤولين المسجلين دخولهم لحذف أو إخفاء أو إعادة ترتيب كائنات التكوين والكتالوج.

توجد ثغرة تزوير الطلبات عبر المواقع (CSRF) تسمح للمهاجمين عن بُعد بحذف علامات الصفحة والمستندات والصور. يحدث هذا لأن مسارات الحذف في المكتب الخلفي (back-office) تفتقر إلى رموز CSRF—وهي معرفات فريدة تُستخدم لمنع الطلبات غير المصرح بها—وإلى فحوصات الأذونات. يمكن للمهاجمين استدراج مسؤول تسجيل الدخول للانتقال إلى طلبات GET مصممة خصيصاً تتنقل عبر معرفات تسلسلية لإزالة صور TheliaLibrary وملفاتها ومتغيراتها عبر الصفحات والمنتجات والفئات.