CVE-2024-43788

ملخص

Webpack هو أداة تجميع وحدات (module bundler). الغرض الرئيسي منها هو تجميع ملفات JavaScript لاستخدامها في المتصفح، كما أنها قادرة أيضًا على تحويل أو تجميع أو تغليف أي مورد أو أصل تقريبًا. اكتشف مطورو Webpack ثغرة أمنية من نوع DOM Clobbering في وحدة `AutoPublicPathRuntimeModule` الخاصة بـ Webpack. يمكن أن تؤدي أداة DOM Clobbering في الوحدة إلى هجمات البرمجة النصية عبر المواقع (XSS) في صفحات الويب التي تحتوي على عناصر HTML يتحكم فيها المهاجم بدون سكربتات (على سبيل المثال، وسم `img` مع سمة `name` غير معقّمة). وقد لوحظ استغلال هذه الأداة في العالم الحقيقي في Canvas LMS، حيث سمحت بحدوث هجوم XSS عبر كود JavaScript تم تجميعه بواسطة Webpack (الجزء المعرض للخطر هو من Webpack). DOM Clobbering هو نوع من هجمات إعادة استخدام الكود حيث يقوم المهاجم أولاً بتضمين جزء من ترميزات HTML غير البرمجية والتي تبدو حميدة في صفحة الويب (على سبيل المثال، عبر منشور أو تعليق) ثم يستغل الأدوات (أجزاء من كود js) الموجودة في كود JavaScript الحالي لتحويلها إلى كود قابل للتنفيذ. يمكن أن تؤدي هذه الثغرة الأمنية إلى البرمجة النصية عبر المواقع (XSS) على المواقع التي تتضمن ملفات مولّدة بواسطة Webpack وتسمح للمستخدمين بحقن وسوم HTML معينة بدون سكربتات مع سمات name أو id غير معقّمة بشكل صحيح. تمت معالجة هذه المشكلة في إصدار الإصدار 5.94.0. يُنصح جميع المستخدمين بالترقية. لا توجد حلول بديلة معروفة لهذه المشكلة.

• webpack-cve-2024-43788البحث

  يحلّل ويوضح ثغرة webpack CVE-2024-43788، مقدماً رؤى حول الاكتشاف والاستغلال للباحثين في مجال الأمن.