البرمجة النصية عبر المواقع (XSS) في DonWeb Ferozo Webmail (CVE-2024-50962)
الوصف
ثغرة أمنية من نوع البرمجة النصية عبر المواقع (XSS) في Ferozo Webmail v1.1 تسمح للمهاجمين بتنفيذ نصوص برمجية عشوائية عبر مكوني الهويات والاستجابات التلقائية. يمكن استخدام هذه الثغرة لاختطاف جلسات المستخدمين وتنفيذ هجمات التصيد وسرقة بيانات الاعتماد.
تعقيد الهجوم
الصلاحيات المطلوبة
تفاعل المستخدم
- مطلوب (يحتاج المستخدمون إلى التفاعل مع المكون الذي يحتوي على النص البرمجي المحقون.)
المكونات المتأثرة
- صفحة الهويات والاستجابات التلقائية: عدم كفاية التحقق من صحة الإدخال يسمح بحقن نصوص برمجية ضارة.
التأثير
- اختطاف الجلسة: يمكن للمهاجمين السيطرة على جلسات المستخدمين.
- التصيد: يمكن استخدام إطارات iframe المضمنة لتنفيذ هجمات التصيد.
المعالجة
- تعقيم الإدخال: تنفيذ تحقق وتنظيف قوي للإدخال.
- تصفية XSS: تطبيق سياسة أمان المحتوى (CSP) لمنع تنفيذ النصوص البرمجية غير المصرح بها.
CVE-2024-50962
تم الإبلاغ بواسطة [Facundo Fernandez / باحث أمني]
fdzdev/cve-2024-50962
