PT-2025-12152
CVE-2024-12870
·
تاريخ النشر
2025-03-20
·
تاريخ التحديث
2025-03-20
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
infiniflow/ragflow الإصدار cec2080
الوصف
توجد ثغرة أمنية من نوع البرمجة النصية عبر المواقع (XSS) المخزنة، مما يسمح للمهاجم بتحميل ملفات HTML/XML قد تحتوي على أحمال JavaScript تعسفية. يتم تقديم هذه الملفات بنوع المحتوى «application/xml»، الذي يتم عرضه تلقائيًا بواسطة المتصفحات. وقد يؤدي ذلك إلى تنفيذ جافا سكريبت تعسفي في سياق متصفح المستخدم، مما قد يسمح للمهاجمين بسرقة ملفات تعريف الارتباط والحصول على وصول غير مصرح به إلى ملفات وموارد المستخدم. لا تتطلب هذه المشكلة مصادقة، مما يجعلها متاحة لأي شخص لديه وصول شبكي إلى المثيل.
التوصيات
بالنسبة للإصدار cec2080، يُنصح بتقييد الوصول إلى ميزة تحميل الملفات حتى يتوفر تصحيح، وتجنب عرض الملفات المرسلة من قبل المستخدم بنوع المحتوى «application/xml» لتقليل مخاطر الاستغلال. كحل مؤقت، يُنصح بتعطيل عرض ملفات XML في المتصفح أو تقييد تنفيذ أحمال جافا سكريبت الواردة من الملفات المرسلة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾