X4Sh3S

Incomplete list of disallowed inputs in Visual Studio Code allows an unauthorized attacker to bypass a security feature locally.

كانت هناك ثغرة في مكون التضمين الخاص بمحرر Notesnook تتعلق بـ«التنفيذ البرمجي عبر المواقع المخزّن» (XSS) عند معالجة عناوين URL المضمنة لـ Twitter/X. كانت الدالة `tweetToEmbed()` الموجودة في ملف `component.tsx` تدمج عناوين URL التي يقدمها المستخدم مباشرةً في سلسلة HTML دون إجراء عملية التهرب (escaping) المناسبة قبل تعيينها إلى السمة `srcdoc` لعنصر `<iframe>`. وقد سمح ذلك بحقن نصوص برمجية ضارة.