إثبات المفهوم (PoC)

خطوات إعادة الإنتاج:

1. سجّل الدخول كأي مستخدم مصادق عليه.
2. انتقل إلى صفحة إنشاء أو تعديل الوظيفة / الدورة / الدفعة.
3. الصق الحمولة في حقل الوصف.
4. احفظ النموذج.
5. افتح الوظيفة / الدورة / الدفعة التي تم إنشاؤها.
6. يُنفَّذ JavaScript في المتصفح.

السبب الجذري

• غياب أو عدم كفاية تعقيم HTML من جانب الخادم
• عرض غير آمن للمدخلات المقدمة من المستخدم
• نقص ترميز المخرجات في القوالب

الإصلاح / التخفيف

التصحيح الرسمي

• أُصلح في الإصدار: 2.42.0

التحسينات الأمنية المنفذة

• تعقيم مناسب لـ HTML عند الإدخال
• ترميز آمن للمخرجات قبل العرض
• تقييد الوسوم والسمات القابلة للتنفيذ

أفضل الممارسات الموصى بها

• عطّم دائمًا مدخلات المستخدم من جانب الخادم
• طبّق ترميز المخرجات بناءً على السياق (HTML، JS، URL)
• استخدم معقّم HTML موثوقًا (مثل DOMPurify)
• طبّق سياسة أمان المحتوى (CSP)

الجدول الزمني

• أُبلغ من قبل: Dharan Raghunathan
• الحالة: أُصلحت
• إصدار التصحيح: الإصدار 2.42.0

شكر وتقدير

تم الإبلاغ عن هذه المشكلة بمسؤولية من قبل Dharan Raghunathan.

المراجع

• XSS المخزنة من OWASP: https://owasp.org/www-community/attacks/xss/
• CWE-79: تحييد غير صحيح للمدخلات أثناء توليد صفحة الويب
• استشارة GitHub: https://github.com/frappe/lms/security/advisories/GHSA-jjc4-j3hw-33h2

إخلاء مسؤولية

هذا المستند لأغراض تعليمية وأمن دفاعي فقط.