Vq4S

توجد ثغرة تزوير الطلبات عبر المواقع حيث تقوم الدالة `checkCsrf()` في admin/controller/base.php بالتحقق من الرموز لطلبات POST فقط. يسمح هذا للمهاجمين بخداع مسؤول نظام مسجل الدخول لتنفيذ طلبات GET مزورة للقيام بإجراءات تغيير الحالة، مثل حذف حسابات المسؤولين، والمواقع، والطلبات، والقوائم، أو تغيير حالة التعليقات.

توجد ثغرة cross-site scripting مخزنة تتيح للمستخدمين ذوي الصلاحيات المنخفضة (المؤلفين أو البائعين) حقن نصوص برمجية من خلال تجاوز القائمة السوداء للتعبيرات النمطية (regex) في الدالة `sanitizeHTML()`. يمكن للمهاجمين حفظ محتوى المنشورات أو المنتجات باستخدام وسوم معالجة أحداث غير مغلقة أو كيانات `javascript:` لتنفيذ النصوص البرمجية للزوار المجهولين والمسؤولين، مما قد يؤدي إلى سرقة الجلسات أو رموز CSRF.

توجد ثغرة تنفيذ عن بُعد للكود تسمح للمستخدمين الذين لديهم أدوار `site admin` مقيدة بحقن كود PHP عن طريق حفظ ملفات `.sql` من خلال محرر أكواد المسؤول. يتم ذلك باستخدام حمولة ماكرو `@IF` لتجاوز قوائم حظر الامتدادات والمحتوى. عندما يتم تحميل النموذج، يتم تجميع الحمولة إلى كود PHP قابل للتنفيذ، مما يسمح بتشغيل أوامر نظام التشغيل بصلاحيات مستخدم الويب.