CVE-2021-21283

Flarum vebsaytlar üçün açıq mənbəli müzakirə platformasıdır. "Flarum Sticky" genişlənməsinin 0.1.0-beta.14 və 0.1.0-beta.15 versiyalarında saytlararası skriptinq (XSS) zəifliyi mövcuddur. Sticky genişlənməsinin beta 14 buraxılışındakı dəyişiklik, bərkidilmiş müzakirənin ilk paylaşımının düz mətn məzmununun müzakirələr siyahısında HTML kimi yerləşdirilməsinə səbəb olmuşdur. Problem daxili audit zamanı aşkar edilmişdir. Hər hansı bir HTML kodu m.trust() köməkçisi vasitəsilə yerləşdirilirdi. Bu, <script> teqlərinin icra olunmadığı HTML inyeksiyasına gətirib çıxarmışdır. Lakin digər HTML atributları vasitəsilə javascript kodlarını işə salmaq mümkün idi ki, bu da saytlararası skriptinq (XSS) hücumunun həyata keçirilməsinə şərait yaradırdı. Eksployt yalnız bərkidilmiş müzakirənin ilk paylaşımı ilə baş verdiyi üçün, hücum edən şəxs öz müzakirəsini bərkitmək və ya əvvəllər bərkidilmiş müzakirəni redaktə etmək imkanına malik olmalıdır. Bütün bərkidilmiş paylaşımların heyət üzvləri tərəfindən yazıldığı forumlarda, zəifliyin istifadə edilmədiyindən nisbətən əmin ola bilərsiniz. Bəzi istifadəçi tərəfindən yaradılmış müzakirələrin bərkidildiyi forumlar, zəifliyin istifadə edilib-edilmədiyini müəyyən etmək üçün ilk paylaşımın redaktə tarixinə baxa bilərlər. Flarum paylaşım məzmununun tarixçəsini saxlamadığı üçün, zərərli redaktənin geri qaytarılıb-qaytarılmadığından əmin ola bilməzsiniz. Düzəliş Flarum beta 16 ilə birlikdə v0.1.0-beta.16 versiyasında təqdim ediləcəkdir. Düzəliş artıq Flarum beta 15-ə Sticky genişlənməsinin v0.1.0-beta.15.1 versiyası kimi tətbiq edilmişdir. Forum administratorları yeniləməni tətbiq edənə qədər Sticky genişlənməsini deaktiv edə bilərlər. Genişlənmə deaktiv olduqda zəiflikdən istifadə etmək mümkün deyil.