ثغرة XSS في Ferozo Webmail عبر رفع الملفات (CVE-2024-33231)

الوصف

إصدار Ferozo Webmail 1.1 عرضة لثغرة البرمجة النصية عبر المواقع (XSS) من خلال وظيفة رفع الملفات. يمكن للمهاجم استغلال هذه الثغرة عن طريق رفع ملف مصمم خصيصًا يحتوي على كود JavaScript خبيث. عند معالجة الملف أو عرضه داخل التطبيق، يتم تنفيذ البرنامج النصي المضمّن داخل جلسة الضحية، مما قد يؤدي إلى:

• اختطاف الجلسة
• إجراءات غير مصرح بها
• سرقة المعلومات الحساسة

تنشأ هذه الثغرة بسبب عدم كفاية التنقية والتحقق من بيانات الملفات ومحتواها أثناء عملية الرفع، مما يسمح للمستخدمين الخبيثين بحقن برامج نصية غير مصرح بها والمساس بأمان منصة الويب ميل.

تعقيد الهجوم

• منخفض

الصلاحيات المطلوبة

• منخفضة (يتطلب مستخدمًا مصادقًا عليه لرفع ملف.)

تفاعل المستخدم

• مطلوب (يجب أن يتفاعل مستخدم أو مسؤول مع الملف المرفوع أو يفتحه.)

المكونات المتأثرة