Quark Drive before 0.8.5 contains a stored cross-site scripting vulnerability in the System Configuration page where the template renders push_config key names using Vue.js's v-html directive without escaping. Authenticated attackers can inject HTML or JavaScript payloads as key names through the POST /update endpoint, which are persisted to disk and executed in the browsers of all authenticated users accessing the System Configuration tab, allowing session cookie exfiltration and arbitrary authenticated actions.
Quark Drive versions before 0.8.5 contain a stored XSS vulnerability in the System Configuration page where unescaped key names are rendered via Vue.js v-html directive. Authenticated attackers can inject malicious payloads through the POST /update endpoint that execute for all users accessing the configuration tab, enabling session hijacking and unauthorized actions.
تحتوي ثغرة XSS المخزنة هذه على خطورة متوسطة حيث تتطلب مصادقة مسبقة لكن تؤثر على جميع المستخدمين المصرح لهم. يمكن للمهاجمين سرقة ملفات تعريف الجلسة والقيام بإجراءات مصرح بها نيابة عن الضحايا. الثغرة موجودة في معالجة أسماء مفاتيح الإعدادات التي لا يتم تصفيتها بشكل صحيح قبل العرض.
تحتوي إصدارات Quark Drive السابقة للإصدار 0.8.5 على ثغرة XSS مخزنة في صفحة إعدادات النظام حيث يتم عرض أسماء المفاتيح بدون تصفية عبر توجيه Vue.js v-html. يمكن للمهاجمين المصرح لهم حقن حمولات ضارة من خلال نقطة نهاية POST /update التي تُنفذ لجميع المستخدمين الذين يصلون إلى علامة التبويب الإعدادات.
Upgrade Quark Drive to version 0.8.5 or later immediately. Implement input validation and sanitization for all POST /update endpoint parameters. Apply HTML entity encoding to all user-supplied data before rendering with v-html directive. Conduct security audit of template rendering practices. Restrict System Configuration page access to authorized administrators only.
قم بترقية Quark Drive إلى الإصدار 0.8.5 أو أحدث فوراً. طبق التحقق من صحة المدخلات وتنظيفها لجميع معاملات نقطة نهاية POST /update. طبق ترميز كيانات HTML على جميع البيانات المدخلة من المستخدم قبل العرض باستخدام توجيه v-html. أجرِ تدقيق أمني لممارسات عرض القوالب. قيد الوصول إلى صفحة إعدادات النظام للمسؤولين المصرح لهم فقط.