Mohammed Hisam

يسمح نقطة نهاية تسجيل الدخول بدون رأس (headless login endpoint) بالتصفح القسري، مما قد يؤدي إلى كشف مفتاح واجهة برمجة تطبيقات (API key) الخاص بعميل miniOrange والمخزن في الموقع للمستخدمين غير المصرح لهم. تحدث هذه المشكلة عندما يتم تفعيل ميزة Headless 2FA من خلال صلاحية `miniorange 2fa headless`.

توجد ثغرة لتجاوز المصادقة بسبب عدم التحقق الكافي من المدخلات التي يوفرها المستخدم. تسمح هذه الثغرة للمهاجم بتجاوز عملية التحقق أثناء تسجيل المستخدم، مما قد يؤدي إلى الاستيلاء على الحساب.

توجد ثغرة Cross-site Scripting (XSS) منعكسة غير مصرح بها لأن الوحدة لا تقوم بتصفية المدخلات التي يوفرها المستخدم بشكل كافٍ قبل عرضها أثناء إنشاء صفحات الويب.