Secalert

يسمح ملحق الوسائط (media plugin) بإنشاء عناصر عبر سمة `data-mce-object` في المستند النشط قبل إجراء عملية التطهير (sanitization). تتيح هذه الثغرة تنفيذ برمجيات خبيثة، مما يؤدي إلى حدوث ثغرة نصية عابرة للمواقع مخزنة (stored XSS)، وهي تقنية يتم من خلالها تخزين نص برمجى بشكل دائم على خادم مستهدف ويتم تنفيذه في متصفح المستخدم الذي يزور الصفحة المصابة.

The issue allows a malicious user to trigger remote code execution by crafting the value for the `response type` parameter, which is executed as Spring SpEL when processing authorization requests using the whitelabel views.