Marcos García

توجد ثغرة في واجهة برمجة التطبيقات (API) الخاصة بالمعاملات تسمح للمستخدم المصادق عليه بقراءة السجلات المالية الخاصة بشركات أخرى على نفس المثيل. ويحدث ذلك لأن النظام لا يقوم بتطبيق نطاق الشركة أو فحوصات الأذونات عند معالجة الطلبات. يتم تشغيل هذه المشكلة عبر معرّف متزايد في نقطة النهاية GET ’/api/transaction/{id}‘، مما يؤثر بشكل خاص على المتغير `id`.

توجد ثغرة في البرمجة النصية عبر المواقع (XSS) المخزنة في مكون إدارة المستخدمين. يمكن لمهاجم تمت مصادقته تنفيذ تعليمات جافا سكريبت تعسفية في متصفح مستخدم آخر تمت مصادقته عن طريق تقديم اسم مستخدم مُعدّ خصيصًا. يحدث هذا لأن الواجهة الأمامية تستخدم الدالة `escapeHTML()` قبل إدراج اسم المستخدم في السمة `onclick` الخاصة بزر حذف الحساب. ونظرًا لأن المتصفحات تقوم بفك تشفير قيم السمات بلغة HTML قبل أن يقوم محرك JavaScript بتحليل المعالج، يمكن استخدام علامة اقتباس مفردة (') مشفرة للخروج من السلسلة النصية وحقن كود ضار يتم تنفيذه عندما ينقر الضحية على زر الحذف.

يمكن للمستخدمين المصادق عليهم تنفيذ تعليمات جافا سكريبت تعسفية داخل مصدر التطبيق بسبب مشكلة ”التنفيذ البرمجي عبر المواقع“ (Cross-site Scripting) في أداة عرض النتائج. يحدث هذا عندما يتم إدراج علامات HTML المخزنة في حقل `severity` الخاص بإحدى النتائج دون إزالة الأحرف الخاصة في سمات الفئة والأسلوب أثناء عرض التقرير.

تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-site Scripting) في وظائف عرض التقارير من جانب العميل `renderPreview()` و`renderEditor()` و`renderAuditData()` الموجودة في ملف js/app.js. يمكن لمهاجم بعيد ومصادق عليه تنفيذ تعليمات جافا سكريبت تعسفية في متصفح أي مستخدم يشاهد تقريرًا متأثرًا. ويحدث ذلك لأن الحمولات المخزنة في مصفوفة `images` الخاصة بنتيجة ما أو مصفوفة `client logo` الخاصة بالتقرير يتم إدراجها في سمة src لعلامة <img> دون إجراء التهرب المناسب.