ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
منصة FOSSBilling هي منصة مفتوحة المصدر للفوترة وإدارة العملاء. من الإصدار 0.1.0 حتى 0.8.9، تقوم نقطة النهاية admin/support/note_create بتخزين معامل note دون تعقيم في جدول support_ticket_note، ويقوم الملف src/modules/Support/templates/admin/mod_support_tickets.html.twig برسم كل ملاحظة تذكرة دعم مخزنة عبر innerHTML في قائمة تذاكر المسؤول. يمكن لمستخدم موظف لديه صلاحية support.manage_tickets فقط تخزين HTML أو JavaScript يتم تنفيذها عندما يقوم موظف آخر بفتح ملاحظات التذكرة. تعمل الشيفرة بجلسة وصلاحيات الموظف المشاهد، ويمكنها قراءة رمز CSRF وبيانات العميل أو الفاتورة المتاحة، ويمكنها أداء إجراءات إدارية متاحة للمشاهد، بما في ذلك مسؤول خارق (Super Administrator). لا تتأثر صفحة تفاصيل التذكرة لأن رسم Twig الخاص بها يستخدم التفلت التلقائي (autoescaping). تم إصلاح هذه المشكلة في الإصدار 0.8.9.
المعالجة
المراجع
- مرجعhttps://github.com/FOSSBilling/FOSSBilling/security/advisories/GHSA-493h-fvcx-6q62
- مرجعhttps://github.com/FOSSBilling/FOSSBilling/pull/4548
- مرجعhttps://github.com/FOSSBilling/FOSSBilling/commit/87528920b6cb1ba6f113583253eb4d7abdd1d8c6
- مرجعhttps://github.com/FOSSBilling/FOSSBilling/releases/tag/0.8.9