Milo2012

يحتوي وحدة ACL على مشكلة cross-site scripting منعكسة. يحدث هذا عندما يتم حقن مدخلات غير مشفرة في كتل نصية برمجية (inline script blocks) عبر المعلمة `module id` في نقاط النهاية 'acl/index' أو 'acl/acl'. يمكن للمهاجم استخدام ذلك لتنفيذ JavaScript ضمن الجلسات المصادق عليها، مما قد يؤدي إلى سرقة ملفات تعريف ارتباط الجلسة غير المحمية بـ HttpOnly أو تعديل تكوين ACL.

يمكن للمهاجمين المصرح لهم تنفيذ JavaScript عن طريق حقن حمولات في معامل POST `searchEleNo` الخاص بنقطة النهاية 'application/index/search'. يحدث هذا لأن التطبيق يفشل في ترميز سمات HTML في auto-suggest.phtml، مما يسمح بحقن معالجات الأحداث التي تعمل عند إدراج DOM. يمكن أن يؤدي ذلك إلى سرقة بيانات المرضى وملفات تعريف ارتباط الجلسة غير المحمية بـ HttpOnly.

توجد ثغرة cross-site scripting منعكسة في نقطة نهاية الاقتراح التلقائي في وحدة Application. تقوم نقطة النهاية `application/index/search` بعكس معامل POST `searchMode` دون ترميز داخل سمة onClick محاطة بعلامات اقتباس مفردة. يسمح هذا للمهاجم بتنفيذ JavaScript تعسفي في جلسة مستخدم مصرح له من خلال حثه على إرسال حمولة محددة، مما قد يؤدي إلى سرقة ملفات تعريف ارتباط الجلسة أو الكشف عن بيانات المرضى.

يحتوي نموذج فحص العين (eye mag) على مشكلة cross-site scripting مخزنة. يحدث هذا عندما يقوم المسؤولون بحقن JavaScript من خلال عناوين غير مشفرة في خيار قائمة `Eye defaults`. يمكن للمهاجم تخزين عنوان مصاغ عبر نقطة النهاية 'edit list.php' والتي تكسر سلسلة jQuery في 'eye base.php'، مما يؤدي إلى تنفيذ برمجية خبيثة في جلسة أي مستخدم مصرح له عند النقر على Defaults.