Pavan Saxena

توجد ثغرة من نوع Cross-Site Scripting (XSS) مخزنة في عرض تفاصيل جهة الاتصال. يتم عرض حقول جهات الاتصال المخصصة من نوع HTML بدون تنقية للمخرجات، مما يسمح للمستخدم أو التكامل بتخزين حمولة برمجية خبيثة من خلال تحرير جهة الاتصال، أو واجهة برمجة تطبيقات جهات الاتصال (API)، أو تقديم نماذج مرتبطة بالحقل. عندما يقوم مسؤول أو مستخدم آخر بفتح صفحة تفاصيل جهة الاتصال المتأثرة، يتم تنفيذ البرمجية في جلسة المتصفح النشطة الخاصة بهم. قد يؤدي ذلك إلى تنفيذ إجراءات إدارية غير مصرح بها، مثل إنشاء حسابات مسؤولين جدد، أو تغيير تكوينات النظام، أو الوصول إلى بيانات جهات الاتصال والحملات.

يمكن لمستخدم غير مصدق موجود في مسار الشبكة قراءة أو تعديل البيانات المرسلة من الموصل عند استخدام مصادقة Kerberos مع أداة تجميع الأحداث التي تعمل ببروتوكول نقل النص التشعبي (HTTP) في Splunk Enterprise. يحدث هذا لأن مسار مصادقة Kerberos يفشل في تطبيق خيارات التحقق من صحة الشهادات التي تم تكوينها أثناء إنشاء عميل HTTP.

يحدث نقص في معالجة النص الذي يقدمه المستخدم قبل كتابته في ملف نمط PHP تم إنشاؤه. وهذا يسمح لمسؤول موقع فرعي متعدد المواقع، الذي يمتلك القدرة على تنفيذ هذا الإجراء ولكنه ممنوع من تعديل ملفات PHP، بحقن وتنفيذ تعليمات برمجية PHP عشوائية على الخادم.