Tharvid

Happy DOM هو تنفيذ بلغة JavaScript لمتصفح ويب بدون واجهة مستخدم رسومية. عند تحليل HTML غير موثوق به على الخادم، يقوم البرنامج بتحميل عناوين URL الخاصة بـ `src` في `iframe` وعناوين URL الخاصة بـ `href` في `link rel="stylesheet"` بشكل افتراضي. يحدث هذا لأن المتغيرات `disableIframePageLoading` و `disableCSSFileLoading` تكون قيمتها الافتراضية `false`. يمكن للمهاجم الذي يتحكم في HTML الذي يتم تحليله أن يتسبب في تزوير الطلبات من جانب الخادم (SSRF)، مما يؤدي إلى إرسال طلبات من الخادم إلى نقاط نهاية داخلية أو سحابية عشوائية. قد يؤدي ذلك إلى كشف استجابات سرية، أو فحص الشبكة الداخلية، أو سرقة بيانات اعتماد سحابية من نقاط نهاية البيانات الوصفية.

يفشل XMLBuilder في إخفاء تسلسل ”-->“ في محتوى التعليقات وتسلسل ”>>“ في أقسام CDATA عند إنشاء XML من كائنات JavaScript. تتيح هذه الثغرة حقن XML إذا تم تضمين بيانات يتحكم فيها المستخدم في التعليقات أو عناصر CDATA، مما قد يؤدي إلى البرمجة النصية عبر المواقع (XSS) أو حقن SOAP أو التلاعب بالبيانات.

يسمح البرنامج بتسلسل محتوى التعليقات التي يتحكم فيها المهاجم إلى XML دون التحقق من صحة تسلسلات كسر التعليقات أو تحييدها. يحدث هذا أثناء بناء DOM وتدفق التسلسل لعقد التعليقات عند استدعاء الدالة `createComment()`؛ حيث يتم تخزين السلسلة المقدمة كما هي ثم يتم ربطها لاحقًا بمحددات تعليقات XML أثناء التسلسل. ونظرًا لأن تعليقات XML حساسة من حيث بناء الجملة، يمكن للمهاجم تقديم مدخلات تحتوي على تسلسل يغلق التعليق، مما يسمح له بإنهاء التعليق مبكرًا وحقن عقد XML عشوائية في المخرجات المسلسلة. وقد يمكّن هذا المهاجم من تغيير معنى وبنية مستندات XML التي تم إنشاؤها، مما يؤثر على سير العمل الذي يقوم بتخزين أو إعادة توجيه أو توقيع أو تحليل XML الناتج، مثل مستندات التكوين أو السياسات.

تقوم الحزمة بتسلسل حقول عقدة `DocumentType` (`internalSubset` و`publicId` و`systemId`) حرفياً دون إجراء أي عملية هروب أو تحقق من الصحة. عندما يتم تعيين هذه الحقول برمجياً عبر الدالة `createDocumentType()` أو عن طريق الكتابة المباشرة على الخصائص باستخدام سلاسل نصية يتحكم فيها المهاجم، يمكن أن تنتج طريقة `XMLSerializer.serializeToString` مخرجات يتم فيها إنهاء إعلان DOCTYPE قبل الأوان، مما يسمح بظهور علامات ترميز عشوائية خارج نطاقه. وعلى وجه التحديد، يمكن أن يؤدي إدخال `]>` في `internalSubset` أو `>` في `systemId` إلى إنهاء إعلان DOCTYPE مبكرًا، في حين أن التلاعب بـ `publicId` يمكن أن يكسر سياق الاقتباس لإدخال إدخالات SYSTEM مزيفة. وقد يؤدي ذلك إلى هجمات من فئة XXE إذا قامت محللات XML اللاحقة بإعادة تحليل المخرجات مع تمكين توسيع الكيانات.

يسمح البرنامج بتسلسل بيانات تعليمات المعالجة (PI) التي يتحكم فيها المهاجم إلى XML دون التحقق من صحة تسلسل إغلاق تعليمات المعالجة `?>` أو تعطيله. يحدث هذا لأن الدالة `createProcessingInstruction()` تخزن المتغير `data` مباشرةً دون التحقق من صحته، ثم يقوم المسلسل بعد ذلك بربط هذه البيانات حرفياً. يمكن للمهاجم استخدام تسلسل `?>` لإنهاء تعليمات المعالجة قبل الأوان وإدخال عقد XML عشوائية في المخرجات المتسلسلة، مما قد يؤدي إلى تغيير بنية ومعنى مستندات XML التي تم إنشاؤها.