یک آسیب‌پذیری امنیتی در نرم‌افزار sheshbabu zen (نسخه‌های 1.0 تا 1.5.0) شناسایی شده است که امکان اجرای حملات Cross-Site Scripting (XSS) از نوع ذخیره شده (Stored) را فراهم می‌کند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی در کامپوننت Note Editor و به‌طور مشخص در تابع dangerouslySetInnerHTML در فایل features/notes/NotesEditor.jsx رخ می‌دهد. به دلیل عدم پاک‌سازی (Sanitization) ورودی‌ها در این بخش از کد React، یک کاربر با سطح دسترسی پایین (Low-privilege) می‌تواند محتوای مخربی را ذخیره کند که در هنگام مشاهده یادداشت توسط سایر کاربران، اسکریپت‌های مورد نظر در مرورگر آن‌ها اجرا شود.
تحلیل ریسک و اثرات
- نوع حمله: Stored XSS
- بردار حمله: از راه دور (Remote) توسط کاربر احراز هویت شده
- تأثیر: دسترسی به Context امنیتی مرورگر کاربر قربانی با تأثیر محدود بر محرمانگی (Confidentiality) و یکپارچگی (Integrity) داده‌ها
- وضعیت اکسپلویت: کد اکسپلویت (Exploit) به‌صورت عمومی منتشر شده و قابل استفاده است.
وضعیت اصلاحیه
گزارش‌ها حاکی از آن است که با توسعه‌دهنده این نرم‌افزار برای رفع این مشکل تماس گرفته شده، اما هیچ پاسخی دریافت نشده است. بنابراین، در حال حاضر هیچ Patch رسمی برای رفع این آسیب‌پذیری منتشر نشده است.
