Mario Tesoro

@kolkov/angular-editor before 3.0.4 contains a cross-site scripting vulnerability in toggleEditorMode() that assigns source view text to innerHTML without DomSanitizer sanitization. Attackers can induce users to paste HTML with event handlers such as img onerror into source mode, executing script in the application's origin when toggling views.

توجد مشكلة حيث تقوم الدالة `refreshView()` بكتابة HTML من `ngModel` أو عناصر التحكم في النماذج التفاعلية مباشرة إلى `innerHTML` دون استخدام `DomSanitizer`. يؤدي هذا إلى تجاوز خيار التطهير الافتراضي، مما يسمح للمهاجمين بتخزين HTML يحتوي على سمات معالجة الأحداث. عندما يتم تحميل هذا المحتوى لاحقاً في المحرر، يمكن أن يؤدي ذلك إلى تنفيذ برمجيات نصية عشوائية ضمن أصل التطبيق للمستخدمين الذين يفتحون المحتوى المتأثر.

توجد ثغرة في HCL Unica Marketing Operations تتعلق بـ«التنفيذ البرمجي عبر المواقع المخزّن» (XSS). ويحدث «التنفيذ البرمجي عبر المواقع المخزّن» عندما يتلقى التطبيق بيانات من مصدر غير موثوق به ويقوم بتضمين تلك البيانات في استجاباته اللاحقة عبر بروتوكول HTTP بطريقة غير آمنة.

توجد مشكلة تتعلق بتزوير الطلبات بين المواقع (CSRF) في OpenText Web Site Management Server. قد يتم حث المستخدم الذي لديه جلسة عمل نشطة على تنفيذ إجراءات دون علمه عند النقر على صفحة ضارة تحتوي على كود HTML مُعدّ خصيصًا.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة OpenText Web Site Management Server، الإصدارات من 16.7.0 حتى 16.7.1 الوصف يحتوي البرنامج على ثغرة تتمثل في عدم معالجة المدخلات بشكل كافٍ أثناء إنشاء صفحات الويب، مما يؤدي إلى حدوث هجوم «التنفيذ البرمجي عبر المواقع» المنعكس (XSS). وهذا يسمح بحقن كود JavaScript ضار عبر معلمات عناوين URL. وعندما يتم عرض الصفحة، يمكن تنفيذ البرنامج النصي المحقون على جانب العميل. تتعلق المشكلة بعرض البرامج النصية الضارة عند إنشاء عرض للصفحة. التوصيات قم بتحديث OpenText Web Site Management Server إلى إصدار أحدث من 16.7.1.

توجد ثغرة في DokuWiki تتعلق بـ«التنفيذ البرمجي عبر المواقع» (Cross Site Scripting). قد يتمكن مهاجم عن بُعد من تنفيذ تعليمات برمجية تعسفية عبر المعلمة `q`. المكون المعرض للخطر هو «Librarian» [56.1].

يعد IBM Copy Services Manager الإصدار 6.3.13 عرضة لثغرة «البرمجة النصية عبر المواقع» (cross-site scripting). يمكن لمستخدم معتمد إدراج كود JavaScript تعسفي في واجهة الويب، مما قد يؤدي إلى تغيير الوظائف وإلى الكشف عن بيانات الاعتماد داخل جلسة عمل موثوقة.

تسمح هذه الثغرة لمهاجم بالوصول إلى الملفات الحساسة عن طريق إدخال أحمال ”عبور المسار“ (path traversal) في المعلمة `deficon`، مما يتيح إدراج ملفات محلية.