CVE-2021-32671

Flarum icmalar yaratmaq üçün nəzərdə tutulmuş forum proqram təminatıdır. Flarum-un tərcümə sistemi sətir girişlərinin render edilərkən HTML DOM düyünlərinə çevrilməsinə şərait yaradırdı. Bu dəyişiklik v0.1.0-beta.16 versiyasından (v1.0.0-dan əvvəlki son beta versiyamız) sonra edilmiş və fərq edilməmiş və ya sənədləşdirilməmişdi. Bu, istənilən istifadəçiyə müəyyən istifadəçi giriş sahələrinə zərərli HTML nişanlamaları daxil etməyə və bunların müştəri brauzerlərində icra olunmasına imkan verirdi. Bu boşluğun aşkar edilməsinə səbəb olan nümunə forumun axtarış qutusunda idi. <script>alert('test')</script> kimi saxta zərərli HTML nişanlamalarının daxil edilməsi forumda xəbərdarlıq pəncərəsinin görünməsi ilə nəticələnirdi. Bu hücum həmçinin istifadəçi adından AJAX sorğuları göndərmək üçün dəyişdirilə bilərdi ki, bu da müzakirələrin silinməsinə, tənzimləmələrin və ya profilin dəyişdirilməsinə, hətta hücum imtiyazlı istifadəçiyə yönəldildiyi təqdirdə Admin panelindəki tənzimləmələrin dəyişdirilməsinə səbəb ola bilərdi. Flarum v1.0.0 və ya v1.0.1 versiyalarını işlədən bütün Flarum icmaları bu problemdən təsirlənib. Boşluq aradan qaldırılmış və flarum/core v1.0.2 versiyasında dərc edilmişdir. Flarum v1.0 işlədən bütün icmalar mümkün qədər tez v1.0.2 versiyasına yüksəltmə etməlidirlər.