یک نقص امنیتی در نرم‌افزار مدیریت منابع انسانی Omega Solution HRM OS (نسخه‌های تا 20260717) شناسایی شده است که امکان اجرای حملات Cross-Site Scripting (XSS) را فراهم می‌کند.
جزئیات فنی آسیب‌پذیری
این آسیب‌پذیری در بخش آپلود فایل‌های SVG و به‌طور مشخص در مسیر /media/view/ رخ می‌دهد. مهاجمانی که دارای دسترسی احراز هویت شده (Authenticated) و مجوزهای لازم برای آپلود فایل باشند، می‌توانند فایل‌های SVG مخرب را در سیستم ذخیره کنند. زمانی که کاربر دیگری این فایل را مشاهده کند، کدهای JavaScript تزریق شده در مرورگر قربانی اجرا می‌شوند.
تحلیل ریسک و اثرات
- تغییر محدوده (Scope Change): به دلیل اجرای کد در مرورگر کاربر نهایی، این حمله منجر به تغییر Scope می‌شود.
- سطح دسترسی: مهاجم باید دارای دسترسی‌های سطح بالا (High Privileges) برای آپلود فایل باشد.
- تاثیرات: این نقص منجر به اجرای کد در محیط کاربر (Client-side) می‌شود که می‌تواند برای سرقت Session یا تغییر رابط کاربری (UI) مورد استفاده قرار گیرد.
وضعیت فعلی و پاسخ سازنده
در حال حاضر کد اکسپلویت (Exploit) این آسیب‌پذیری به صورت عمومی منتشر شده است و می‌تواند توسط مهاجمان مورد استفاده قرار گیرد. طبق گزارش‌های موجود، سازنده نرم‌افزار با وجود اطلاع‌رسانی، پاسخی برای رفع این مشکل ارائه نداده است.
