Law6Zx7

CI4MS، وهو نظام إدارة محتوى (CMS) قائم على CodeIgniter 4، معرض لمشكلة «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة ضمن قسم «إعدادات النظام – إدارة وسائل التواصل الاجتماعي». لا يقوم التطبيق بتنقية المدخلات التي يتحكم فيها المستخدم بشكل صحيح في حقول التكوين ”وسائل التواصل الاجتماعي“ و”رابط وسائل التواصل الاجتماعي“، مما يؤدي إلى تخزين الحمولات الخبيثة وعرضها لاحقًا دون ترميز مناسب للمخرجات. وينتج عن ذلك ثغرة XSS قائمة على DOM في نفس الصفحة، حيث تخرج الحمولة المُحقنة من سياق سمة الإدخال وتُنفَّذ فورًا في متصفح المستخدم المصادق عليه الذي يدير الإعدادات. تشمل الوظائف المتأثرة تكوين «إعدادات النظام – إدارة وسائل التواصل الاجتماعي»، وعرض حقول الإدخال التي يتحكم فيها المستخدم على نفس الصفحة، وحقن سمات DOM داخل مدخلات النماذج، وتخزين واسترجاع قيم تكوين وسائل التواصل الاجتماعي. يمكن للمهاجم حقن حمولة JavaScript ضارة في هذه الحقول، والتي يتم بعد ذلك تخزينها وإعادة عرضها دون تنقية، مما يؤدي إلى تنفيذ JavaScript تعسفي، واحتمال تصعيد الامتيازات الإدارية، واختراق الحساب أو المنصة بالكامل. نقطة نهاية واجهة برمجة التطبيقات (API) المعرضة للخطر هي `/backend/settings/`. المعلمات المعرضة للخطر هي `Social Media` و`Social Media Link`.

يفشل CI4MS في تنقية المدخلات التي يتحكم فيها المستخدم بشكل صحيح ضمن ”إعدادات النظام – معلومات الشركة“. تقبل العديد من حقول التكوين الإدارية، بما في ذلك ”اسم الشركة“، و”الشعار“، و”رقم هاتف الشركة“، و”رقم الهاتف المحمول للشركة“، و”البريد الإلكتروني للشركة“، ورابط iframe لخرائط Google، و”شعار الشركة“، مدخلات يتحكم فيها المهاجم يتم تخزينها على جانب الخادم ثم عرضها لاحقًا دون ترميز الإخراج المناسب. ويؤدي ذلك إلى حدوث هجوم ”التنفيذ عبر المواقع“ (XSS) القائم على DOM المخزّن مع التنفيذ الفوري على نفس الصفحة. تسمح هذه الثغرة للمهاجم بحقن حمولة JavaScript ضارة في هذه الحقول، والتي تخرج عن سياق سمة HTML وتُنفَّذ في متصفح المستخدم المصادق عليه الذي يدير الإعدادات. وقد يؤدي ذلك إلى تصعيد الامتيازات الإدارية واختراق المنصة بالكامل. نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة هي `/backend/settings/` (معلومات الشركة). المعلمات المعرضة للخطر هي حقول الإدخال الموجودة ضمن قسم «معلومات الشركة».

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة**: إصدارات CI4MS الأقدم من 0.31.0.0 **الوصف**: يحتوي CI4MS، وهو هيكل أساسي لنظام إدارة المحتوى (CMS) مبني على CodeIgniter 4، على ثغرة في وظيفة إدارة المستخدمين في الواجهة الخلفية تتمثل في «التنفيذ البرمجي عبر المواقع المخزّن» (Stored XSS). لا يقوم التطبيق بتنقية المدخلات التي يتحكم فيها المستخدم بشكل صحيح قبل عرضها في واجهة الإدارة، مما يسمح للمهاجمين بحقن كود JavaScript دائم. يتم تنفيذ هذا الكود تلقائيًا عندما يصل مستخدمو الواجهة الخلفية إلى الصفحة المتأثرة، مما قد يتيح اختطاف الجلسة، وتصعيد الامتيازات، واختراق الحساب الإداري بالكامل. تكمن الثغرة الأمنية في ميزة إنشاء المستخدمين في الواجهة الخلفية التي يمكن الوصول إليها عبر نقطة نهاية واجهة برمجة التطبيقات (API) `/backend/users`. يتم تخزين المدخلات التي يقدمها المستخدم في حقول `name` و`surname` دون التحقق من صحتها أو تنقيتها، ثم يتم إدخالها في HTML دون ترميز الإخراج. وهذا يسمح للمهاجمين بتضمين حمولات JavaScript ضارة يتم تنفيذها في سياق مستخدمي الخلفية المصادق عليهم. **التوصيات**: قم بتحديث CI4MS إلى الإصدار 0.31.0.0 أو أحدث.

لا يقوم CI4MS، وهو هيكل أساسي لنظام إدارة المحتوى (CMS) قائم على CodeIgniter 4، بتنقية المدخلات التي يتحكم فيها المستخدم بشكل صحيح ضمن ”إعدادات النظام – إعدادات البريد“. تقبل حقول التكوين، بما في ذلك خادم البريد، ومنفذ البريد، وعنوان البريد الإلكتروني، وكلمة مرور البريد الإلكتروني، وبروتوكول البريد، وإعدادات TLS، مدخلات يتحكم فيها المهاجم يتم تخزينها على جانب الخادم وعرضها دون ترميز الإخراج المناسب. ينتج عن ذلك ثغرة «التنفيذ البرمجي عبر المواقع» (XSS) المستندة إلى DOM والمخزنة في نفس الصفحة. تسمح هذه المشكلة للمهاجم بحقن حمولة JavaScript ضارة في هذه الحقول، والتي يتم تنفيذها بعد ذلك على الفور في نفس صفحة الإعدادات ضمن سياق متصفح المستخدم المصادق عليه. تشمل الوظائف المتأثرة إعدادات النظام – إعدادات البريد وعرض حقول الإدخال التي يتحكم فيها المستخدم. تتأثر نقطة نهاية واجهة برمجة التطبيقات (API) `/backend/settings/` (إعدادات البريد). تشمل المعلمات المعرضة للخطر «خادم البريد» و«منفذ البريد» و«عنوان البريد الإلكتروني» و«كلمة مرور البريد الإلكتروني» و«بروتوكول البريد» و«المجال».