CVE-2025-67730 – البرمجة النصية عبر المواقع المخزنة (XSS)
نظرة عامة
معرف CVE: CVE-2025-67730
نوع الثغرة: البرمجة النصية عبر المواقع المخزنة (XSS)
الخطورة: متوسطة–عالية (تعتمد على السياق)
سمحت هذه الثغرة للمستخدمين المصادق عليهم بحقن HTML وJavaScript ضارين في حقول الوصف بنماذج الوظيفة والدورة والدفعة. كانت الحمولة المحقونة تُنفَّذ تلقائيًا في متصفح أي مستخدم يعرض لاحقًا الوظيفة أو الدورة أو الدفعة المتأثرة.
المكونات المتأثرة
- حقل وصف الوظيفة
- حقل وصف الدورة
- حقل وصف الدفعة
الأثر
- تنفيذ JavaScript عشوائية في متصفحات الضحايا
- اختطاف الجلسات
- سرقة بيانات الاعتماد
- الاستيلاء على الحساب (اعتمادًا على مستوى الصلاحيات)
- التلاعب بـ DOM والتصيد الاحتيالي
نظرًا لأن الحمولة مخزنة، يستمر الهجوم ويؤثر على كل مستخدم يعرض المحتوى المخترق.
سيناريو الهجوم
- يسجّل المهاجم الدخول بحساب مستخدم صالح.
- ينشئ المهاجم وظيفة أو دورة أو دفعة أو يعدّلها.
- يُدرَج JavaScript ضار في حقل الوصف.
- تُحفظ الحمولة في قاعدة البيانات.
- أي مستخدم يفتح الصفحة المتأثرة يؤدي إلى تشغيل الحمولة.
إثبات المفهوم (PoC)
">
خطوات إعادة الإنتاج:
- سجّل الدخول كأي مستخدم مصادق عليه.
- انتقل إلى صفحة إنشاء أو تعديل الوظيفة / الدورة / الدفعة.
- الصق الحمولة في حقل الوصف.
- احفظ النموذج.
- افتح الوظيفة / الدورة / الدفعة التي تم إنشاؤها.
- يُنفَّذ JavaScript في المتصفح.
السبب الجذري
- غياب أو عدم كفاية تعقيم HTML من جانب الخادم
- عرض غير آمن للمدخلات المقدمة من المستخدم
- نقص ترميز المخرجات في القوالب
الإصلاح / التخفيف
التصحيح الرسمي
التحسينات الأمنية المنفذة
- تعقيم مناسب لـ HTML عند الإدخال
- ترميز آمن للمخرجات قبل العرض
- تقييد الوسوم والسمات القابلة للتنفيذ
أفضل الممارسات الموصى بها
- عطّم دائمًا مدخلات المستخدم من جانب الخادم
- طبّق ترميز المخرجات بناءً على السياق (HTML، JS، URL)
- استخدم معقّم HTML موثوقًا (مثل DOMPurify)
- طبّق سياسة أمان المحتوى (CSP)
الجدول الزمني
- أُبلغ من قبل: Dharan Raghunathan
- الحالة: أُصلحت
- إصدار التصحيح: الإصدار 2.42.0
شكر وتقدير
تم الإبلاغ عن هذه المشكلة بمسؤولية من قبل Dharan Raghunathan.
المراجع
إخلاء مسؤولية
هذا المستند لأغراض تعليمية وأمن دفاعي فقط.
dharan10/cve-2025-67730
