Miguel Gomez

A stored cross-site scripting issue exists in the Survey Menu Entries administration page. An authenticated user with `global settings:read` permission can create a survey menu entry containing malicious data. This data is stored in the `surveymenu entries.data` field and subsequently inserted into a single-quoted HTML title attribute without proper encoding.

A stored Cross-Site Scripting (XSS) issue exists in the oEmbed confirmation rendering workflow. XSS is a flaw that allows an attacker to inject malicious scripts into content that is then served to other users.

A reflected cross-site scripting issue exists in the Space membership-request workflow. An attacker can inject malicious button configuration into the `options` query-string parameter of the 'space/membership/request-membership-form' endpoint. By tricking an authenticated non-member into submitting the membership request form, the server returns JavaScript containing the attacker-controlled code.

توجد ثغرة في البرمجة النصية عبر المواقع (XSS) المخزنة في مسار إخطار حذف التعليقات. يمكن لمسؤول المساحة استغلال هذه الثغرة عن طريق حذف تعليق مستخدم آخر وإدراج كود HTML أو JavaScript في سبب الحذف عند اختيار إخطار المؤلف الأصلي.

توجد ثغرة في البرمجة النصية عبر المواقع (XSS) المنعكسة بعد المصادقة في نقطة النهاية المنبثقة لمحرر HTML. تتم معالجة معلمات الاستعلام `text` و`name` باستخدام أداة تنقية القائمة السوداء، ثم يتم عرضها دون ترميز الإخراج المناسب للسياق. البرمجة النصية عبر المواقع هي تقنية يتم من خلالها حقن نصوص برمجية ضارة في مواقع الويب الموثوقة.

يوجد ثغرة حقن SQL معتمدة في سير عمل قاعدة البيانات المركزية للمشاركين (CPDB). تحدث هذه المشكلة أثناء عملية نسخ رموز المشاركين في الاستطلاع إلى قائمة المشاركين المركزية. حقن SQL هي تقنية يتم من خلالها إدراج عبارات SQL ضارة في حقول الإدخال لتنفيذها، مما قد يسمح بالوصول غير المصرح به إلى قاعدة البيانات أو التلاعب بها.