Mtolley

توجد ثغرة cross-site scripting مخزنة في مكون HighlightCode. يقوم المكون بمعالجة محتوى الملفات غير المفلتر قبل اكتمال تحميل مكتبة highlight.js. يمكن للمهاجمين المصرح لهم رفع ملفات نصية تحتوي على حمولات HTML أو JavaScript يتم تنفيذها في متصفحات المستخدمين الذين يشاهدون الملفات. قد يسمح ذلك بإجراء مكالمات API غير مصرح بها، مثل تغيير تفاصيل الحساب نيابة عن الضحية.

Pdfminer.six هو أداة لاستخراج المعلومات من مستندات PDF. قبل الإصدار 20251107، كان البرنامج قادرًا على تنفيذ تعليمات برمجية عشوائية من ملف pickle ضار عند معالجة ملف PDF ضار. تستخدم الدالة `CMapDB. load data()` الدالة `pickle.loads()` لإلغاء تسلسل ملفات pickle. يمكن لملف PDF ضار تحديد دليل بديل واسم ملف ينتهي بـ `.pickle.gz`، مما يسمح لملف pickle مضغوط ضار بأن يحتوي على تعليمات برمجية يتم تنفيذها تلقائيًا عند معالجة ملف PDF.