Nrawwad

يحدث ثغرة cross-site scripting مخزنة لأن دالتي `renderCss()` في `BrandSetting` و `EditorSetting` تقومان بتخزين مخرجات مترجم LESS الخام باستخدام `Cache::forever()`. يتم تطبيق دالة `strip tags()` فقط على القيم التي يتم إرجاعها عند عدم وجود البيانات في ذاكرة التخزين المؤقت (cache miss). وبناءً على ذلك، بينما تظهر عملية الرندرة الأولى بعد حفظ CSS مخصص وكأنها مطهرة، يتم إنشاء إدخال غير آمن في ذاكرة التخزين المؤقت. وتؤدي عمليات استرجاع البيانات اللاحقة من ذاكرة التخزين المؤقت إلى إرجاع مخرجات غير مطهرة إلى عنصر نمط الخلفية (backend style element). يسمح هذا للمستخدمين الذين لديهم صلاحيات `backend.manage branding` أو `backend.manage editor` بتنفيذ نصوص برمجية عند قيام صفحات الخلفية برندرة الأنماط، بما في ذلك تخطيطات تسجيل الدخول غير المصرح بها، واستعادة كلمة المرور، وإعادة تعيين كلمة المرور.

توجد مشكلة حيث تقبل الدالة `BackendClassesController::actionExists()` الطرق العامة ذات شكل المعالج (handler-shaped) كإجراءات للصفحة. يسمح هذا لطلب GET من المستوى الأعلى باستدعاء معالجات AJAX الخاصة بالخلفية التي تغير الحالة بدون رمز CSRF (تزوير الطلبات عبر المواقع). نظرًا لأن مسارات الخلفية تستخدم `Route::any` ويتم تخطي التحقق من CSRF لطلبات GET، يمكن لمهاجم غير مصرح له دفع مستخدم خلفية مصرح له باتباع رابط خبيث. يمكن أن يؤدي ذلك إلى إجراءات تدميرية مثل قطع السجلات، أو إعادة تعيين الإعدادات، أو تغيير حالة مستخدم الخلفية، أو حذف قوالب CMS. يمكن للمهاجم أيضًا تحديد السجلات المستهدفة عبر أجزاء مسار URL. يسهل ملف تعريف ارتباط الجلسة الافتراضي `SameSite=Lax` ذلك من خلال إرساله أثناء التنقل بين المواقع.

يفشل نظام Winter CMS في ترميز HTML لمعلمة الاستعلام `search` داخل جزئية أداة الجدول (Table widget partial) الموجودة في `modules/backend/widgets/table/partials/ table.php`. نظرًا لأن هذه القيمة يتم إرسالها داخل كتلة `<script type="text/template">` ، يمكن للمهاجم استخدام تسلسل إغلاق النص البرمجي في عنوان URL من نوع GET مصمم خصيصًا لإنهاء القالب وحقن علامات backend تعسفية. يؤثر هذا الخلل على أي صفحة تعرض أداة Table أو DataTable، بما في ذلك نقطة النهاية الأساسية لإعدادات المحرر `/backend/system/settings/update/winter/backend/editor`. يمكن لمهاجم غير مصرح له دفع مستخدم backend مصرح له لاتباع رابط خبيث، مما يؤدي إلى تنفيذ نصوص برمجية في أصل backend الخاص بالضحية. يسمح هذا للمهاجم بقراءة رمز CSRF وإرسال طلبات موثقة. بالنسبة للمستخدمين الذين لديهم صلاحيات `backend.manage editor` ، مثل المستخدمين بدور المطور أو المسؤولين الخارقين، يمكن أن يؤدي ذلك إلى تنفيذ رمز برمجى على خادم النظام من خلال تحرير قوالب CMS.

يمكن لمستخدم لوحة التحكم (backend) المصرح له التسبب في الكشف غير المصرح به عن بيانات ملفات تعريف مستخدمين آخرين في لوحة التحكم. يرث المتحكم `BackendControllersMyAccount` إجراءات من `FormController` بينما يعلن عن مصفوفة `$requiredPermissions` فارغة، وتقوم الدالة `formFindModelObject()` بتحليل معرفات السجلات من خلال استعلام `BackendModelsUser` غير محدد النطاق. يسمح هذا للمهاجم بطلب معرفات مستخدمين متسلسلة عبر نقطة النهاية `/backend/backend/myaccount/preview/{other user id}` أو إجراء التحديث الموروث لقراءة معلومات حساسة، بما في ذلك الاسم، واسم تسجيل الدخول، والبريد الإلكتروني، والصورة الرمزية، والدور، وعضوية المجموعة، وحالة المستخدم الخارق (superuser)، وحالة التقييد (throttle state). لا يتم الكشف عن بيانات كلمة المرور، ويتم حظر عمليات الكتابة بين المستخدمين بواسطة حراس التفويض.