Minseok Kim

تحدث عملية قراءة خارج الحدود بسبب عدم كفاية التحقق من الحدود، مما قد يسمح لتطبيق بالتسبب في إنهاء غير متوقع للنظام. القراءة خارج الحدود هي حالة يقوم فيها البرنامج بقراءة بيانات تتجاوز نهاية أو تسبق بداية المخزن المؤقت المقصود.

يحتوي CKEditor 5، وهو محرر نصوص غني بـ JavaScript، على ثغرة أمنية من نوع البرمجة النصية عبر المواقع (XSS) في وظيفة «الدعم العام لـ HTML». تنشأ هذه الثغرة الأمنية من إدخال علامات مصممة خصيصًا، مما قد يؤدي إلى تنفيذ غير مصرح به لرمز JavaScript. يتم استغلال الثغرة الأمنية عندما يكون المحرر مُهيأً لاستخدام إعداد غير آمن لـ «الدعم العام لـ HTML». تؤثر الثغرة الأمنية على التثبيتات التي يكون فيها «الدعم العام لـ HTML» ممكّنًا ومهيأً للسماح بعلامات غير آمنة.

يحتوي البرنامج على ثغرة ناتجة عن المعالجة غير السليمة للبيانات التي يقدمها المستخدم عند إنشاء صفحات الويب، مما يؤدي إلى حدوث حالة من «التنفيذ البرمجي عبر المواقع» (XSS) المخزّن. وهذا يسمح للمهاجم بإدخال نصوص برمجية ضارة في صفحات الويب التي يشاهدها مستخدمون آخرون. المكون المتأثر هو Import Markdown.

يسمح هذا المكون الإضافي بأن تحتوي الروابط على جافا سكريبت، مما قد يمكّن المستخدمين الذين يحملون دور «مساهم» أو أدوارًا أعلى من تنفيذ هجمات «البرمجة النصية عبر المواقع المخزنة» (Stored Cross-Site Scripting).