Kh0Kamoni

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات YesWiki الأقدم من 4.6.0 **الوصف توجد ثغرة في حقل عنوان النموذج تتعلق بـ «البرمجة النصية عبر المواقع» (XSS) المخزنة والمعمية. يمكن للمهاجم حقن جافا سكريبت دون الحاجة إلى المصادقة عبر عنوان النموذج، الذي يتم حفظه في قاعدة البيانات الخلفية. وعندما يزور المستخدم الصفحة المتأثرة، يتم تنفيذ الحمولة البرمجية لجافا سكريبت. تحدث هذه الثغرة الأمنية لأن التطبيق يخزن المدخلات الخبيثة للمستخدم في قاعدة البيانات الخلفية ويعرضها لاحقًا على صفحة يراها مستخدمون آخرون دون تنقية أو ترميز مناسبين. يمكن للمهاجم حقن حمولات JavaScript في حقل عنوان النموذج، والذي يخزنه التطبيق في قاعدة البيانات. وعندما يعرض أي مستخدم الصفحة التي تظهر هذا العنوان، يتم تنفيذ البرنامج النصي الخبيث في سياق متصفحه. يتضمن إثبات المفهوم زيارة عنوان URL لنموذج معين، وحقن نص برمجي في حقلي «اسم الحدث» و«الوصف»، وحفظ السجل. ثم يتم تنفيذ الحمولة عندما يزور أي شخص سجل اليوميات. **التوصيات التحديث إلى إصدار YesWiki 4.6.0 أو أحدث.

تتعلق المشكلة بهجوم برمجة نصية عبر المواقع (XSS) المنعكس. يمكن تنفيذ حمولة JavaScript ضارة عبر حقول تنسيق المظهر والشكل. يمكن لأي مستخدم تحديث حقول إدخال تنسيق المظهر والشكل الخاصة به، لكن التطبيق الويب لا يقوم بتنقية المدخلات.

توجد ثغرة أمنية من نوع البرمجة النصية عبر المواقع (XSS) المخزنة والمبهمة في حقل «اسم ملف تعريف المستخدم». يمكن للمهاجم تغيير اسمه إلى حمولة JavaScript، والتي يتم تنفيذها عندما يقوم مستخدم بإضافة المستخدم الضار إلى «دفاتر العناوين» الخاصة به (المزامنة > دفاتر العناوين).

توجد ثغرة أمنية من نوع XSS المخزّن والأعمى في حقل «رقم الهاتف» في ملف تعريف المستخدم في تطبيق Group-Office. وهذا يسمح لمهاجم خبيث بحقن أحمال JavaScript دائمة، والتي يتم تشغيلها في سياق مستخدم آخر عندما يقوم هذا المستخدم بعرض دفتر العناوين. ويؤدي الاستغلال الناجح إلى إجراءات مثل عمليات إعادة التوجيه القسرية، أو طلبات fetch غير مصرح بها، أو أي تنفيذ تعسفي آخر لـ JavaScript دون تفاعل من المستخدم.

توجد ثغرة أمنية من نوع Cross-Site Scripting (XSS) تعتمد على DOM في تطبيق Group-Office، مما يسمح للمهاجمين بتنفيذ تعليمات برمجية JavaScript عشوائية في سياق متصفح الضحية. وقد يؤدي ذلك إلى اختطاف الجلسة أو تشويه الصفحة أو إعادة التوجيه إلى مواقع ضارة. يمكن استغلال هذه الثغرة عن طريق حقن حمولة مصممة خصيصًا في معلمة يتم معالجتها لاحقًا بطريقة غير آمنة في DOM.

تتمثل المشكلة في ثغرة أمنية مستمرة من نوع Cross-Site Scripting (XSS) في وظيفة التعليقات على المهام في Group-Office. تتيح هذه الثغرة للمهاجمين تنفيذ جافا سكريبت تعسفي عند تحميل ملف باسم ملف تم التلاعب به. وعندما يقوم المسؤولون أو المستخدمون الآخرون بعرض المهمة التي تحتوي على هذا الملف الضار، يتم تنفيذ الحمولة في سياق متصفحاتهم. يفشل التطبيق في تنقية أسماء ملفات الصور قبل عرضها في التعليق. عند تحميل صورة ذات اسم ملف تم التلاعب به يحتوي على حمولات XSS، يمكن للمهاجمين سرقة المعلومات الحساسة.