Kuzmany

يمكن للمستخدمين الذين يتمتعون بأذونات webhook تنفيذ هجوم تزوير الطلبات من جانب الخادم (SSRF) عبر webhooks. وفي حال كان لديهم صلاحية عرض سجلات الويب هوك، فإن الرد الجزئي على الطلب يُكشف أيضًا. وهذا يسمح بتجاوز جدران الحماية للتفاعل مع الخدمات الداخلية.

يمكن للمستخدم الذي يتمتع بامتيازات المسؤول تعديل إعدادات التطبيق واستخراج معلومات حساسة لا يمكن الوصول إليها عادةً. وهذا يتيح للمسؤول الكشف عن معلمات، مثل بيانات اعتماد قاعدة البيانات، التي لا ينبغي أن يكون له حق الوصول إليها.

تسمح ثغرة أمنية من نوع Cross-Site Scripting (XSS) للمهاجم بتنفيذ جافا سكريبت تعسفي في سياق جلسة عمل مستخدم آخر. ويحدث ذلك لأن المدخلات التي يقدمها المستخدم تُعكس مرة أخرى في استجابة الخادم دون تعقيم أو هروب مناسبين، مما قد يتيح القيام بأعمال خبيثة مثل اختطاف الجلسة، أو سرقة بيانات الاعتماد، أو القيام بأعمال غير مصرح بها في التطبيق. تكمن الثغرة الأمنية في حقل الإدخال «Tags» في نقطة النهاية `/s/ajax?action=lead:addLeadTags`. على الرغم من أن الخادم يقوم بالتنقية قبل تخزين البيانات أو إرجاعها لاحقًا، إلا أن الحمولة يتم تنفيذها فورًا في متصفح الضحية عند انعكاسها، مما يسمح للمهاجم بتنفيذ جافا سكريبت تعسفي في جلسة عمل المستخدم. قد يكون لهجوم XSS المنعكس تأثير كبير، حيث يتيح للمهاجمين سرقة البيانات الحساسة للمستخدم، مثل ملفات تعريف الارتباط، وإعادة توجيه المستخدمين إلى مواقع ويب ضارة، والتلاعب بمحتوى صفحة الويب.

يمكن للمهاجم التحقق من وجود مستخدم ما من خلال مراقبة زمن استجابة عملية تسجيل الدخول. ويمكن استغلال هذا الاختلاف في الزمن لتعداد أسماء المستخدمين الصالحة، وبعد ذلك يمكن للمهاجم محاولة شن هجمات القوة الغاشمة. نشأت المشكلة بسبب اختلاف أوقات الاستجابة عند إدخال اسم مستخدم صالح (حيث يتم إجراء تجزئة كلمة المرور) وعند إدخال اسم مستخدم غير صالح (حيث لا يتم إجراء تجزئة كلمة المرور). يضيف التصحيح مكون TimingSafeFormLoginAuthenticator الذي يقوم بإجراء فحص تجزئة كلمة مرور وهمية حتى للمستخدمين غير الموجودين، مما يضمن وقت استجابة ثابتًا.