Tarcísio Luchesi

تفشل الإضافة في إبطال رموز التحديث (refresh tokens) الصادرة مسبقاً عندما يقوم المستخدم بتغيير كلمة المرور الخاصة به أو إعادة تعيينها أو إزالة جهاز متصل. يسمح هذا للمهاجم الذي حصل بالفعل على رمز تحديث بالاستمرار في إصدار رموز وصول صالحة، مما يحافظ على الوصول المصرح به إلى الحساب، والذي قد يشمل صلاحيات المسؤول.

Missing authorization in the `fluentformpro` component allows for the exploitation of incorrectly configured access control security levels, leading to broken access control.

يحدث ثغرة Cross-Site Scripting (XSS) مخزنة بسبب عدم كفاية تنقية المدخلات ومعالجة المخرجات. يمكن للمهاجمين المصرح لهم، والذين لديهم صلاحيات وصول بمستوى مشترك أو أعلى، حقن نصوص برمجية ويب عشوائية في الصفحات، والتي يتم تنفيذها عندما يصل المستخدم إلى الصفحة المصابة.

يمكن للمستخدمين غير المصادق عليهم إدراج كود HTML تعسفي في رسائل البريد الإلكتروني الخاصة بإعادة تعيين كلمة المرور المرسلة إلى المستخدمين المسجلين. ويحدث ذلك لأن المكون الإضافي لا يقوم بتنقية أو ترميز قيم عنوان البريد الإلكتروني ونصه الواردة في الطلب قبل تضمينها في رسالة HTML، مما قد يسهل شن هجمات التصيد الاحتيالي.

تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) بسبب عدم كفاية عملية تنقية المدخلات وتشفير المخرجات. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المساهم» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يصل المستخدم إلى الصفحة المتأثرة.