ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
نظام FreeScout هو نظام مكتب مساعدة ذاتي الاستضافة وصندوق البريد المشترك. قبل الإصدار 1.8.230، يمكن لمهاجم يملك صلاحيات مسبقة وضع كود HTML في قيمة بريد تسجيل دخول فاشل يتم نسخه عبر نشاط المستخدم المراقب إلى مهمة SendAlert في قائمة الانتظار. إذا فشل تسليم التنبيه، يتم تخزين الحمولة المتسلسلة في failed_jobs وتقوم نقطة نهاية تفاصيل مهام المسؤول بتقديمها بعد مطهر القائمة السوداء الذي يترك سمات معالج الأحداث القابلة للتنفيذ. عندما يفتح المسؤول الرابط /system/ajax-html/job_details/{id} كصفحة رئيسية، يفتقر الجزء الخام إلى سياسة التخطيط العادية ويمكن لجافاسكريبت المسيطر عليه من قبل المهاجم تنفيذ إجراءات المسؤول لنفس الأصل. يتطلب الأمر مراقبة السجلات للمستخدمين، وخدمة بريد تنبيه فاشلة، وتخزين فشل قائمة الانتظار، وتفاعل المسؤول على مستوى عالٍ؛ ولا يتأثر مسار النافذة المنبثقة العادي في التكوين المختبر. تم إصلاح هذه المشكلة في الإصدار 1.8.230.