ثغرة البرمجة النصية عبر المواقع المخزنة (Stored XSS) في Thelia قبل الإصدار 3.1.0 عبر اسم عميل شرط القسيمة

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

تحتوي Thelia قبل الإصدار 3.1.0 على ثغرة برمجة نصية عبر المواقع مخزنة في ForSomeCustomers::getSummary() والتي تسمح للمهاجمين دون مصادقة بححقن نصوص برمجية عبر أسماء العملاء غير المُهَرّبة. يمكن للمهاجمين التسجيل باستخدام حمولة نص برمجي كاسم خاص بهم يتم تنفيذه عندما يعرض المسؤولون القسائم ذات الصلة، مما يسرق رموز CSRF لإنشاء حسابات مسؤولين.

المعالجة

1. أحصِ جميع نشرات Thelia Thelia، بما فيها بيئات الاختبار.
2. رقِّ Thelia Thelia إلى الإصدار 3.1.0.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تصحيحhttps://github.com/thelia/thelia/commit/c90d59375089a0833a56703c6f9f9ddea17bddc9
• تحذيرhttps://github.com/thelia/thelia/security/advisories/GHSA-r63g-6wfg-v5v9
• تحذيرhttps://www.vulncheck.com/advisories/thelia-before-3.1.0-stored-xss-via-coupon-condition-customer-name
• مرجعhttps://github.com/thelia/thelia/releases/tag/3.1.0
• مرجعhttps://github.com/thelia/thelia/blob/3.0.0/core/lib/Thelia/Condition/Implementation/ForSomeCustomers.php#L119