Kulesy

تسمح معالجات postMessage عبر الأصول (cross-origin) بـ XSS المخزّن والاستيلاء على الجلسة. يسجل البرنامج مستمعي رسائل النافذة — وتحديدًا معالج التراكب useTina، ومعالج النافذة المنبثقة لمصادقة OAuth، ومُخفِّض GraphQL لإطار iframe admin↔preview — التي تعالج `event.data` دون التحقق من `event.origin` أو `event.source`. بالإضافة إلى ذلك، يقوم البرنامج بنشر الرسائل باستخدام أصول مستهدفة غير محددة. يمكن لصفحة خبيثة يزورها الضحية، أو نافذة في علاقة فتح/إطار فرعي مع «Tina admin»، تزوير الرسائل للتحكم في المحرر، أو إدخال محتوى المعاينة، أو التلاعب بقناة النافذة المنبثقة لـ OAuth لاختطاف جلسة تحرير تمت المصادقة عليها.

يفشل تحليل النص المنسق وعوامل عرض الروابط/الصور الافتراضية في تنقية حقل `url` في عقد الروابط/الصور في Slate. وهذا يسمح بعرض المحتوى الذي يحتوي على عناوين URL من نوع `javascript:` أو `data:text/html` — بما في ذلك الإصدارات التي تستخدم تباينات الأحرف الكبيرة والصغيرة، أو الحشو بالمسافات البيضاء، أو التعتيم باستخدام أحرف التحكم — في سمات `href` أو `src`. ونتيجة لذلك، يمكن لأي جهة قادرة على إنشاء محتوى نص منسق، مثل محرر ذي صلاحيات محدودة أو من خلال محتوى خارجي مستورد، تنفيذ هجوم «التنفيذ البرمجي عبر المواقع» (XSS) المخزن ضد المحررين وزوار الموقع.