PT-2025-1297
CVE-2025-23207
·
تاريخ النشر
2025-01-17
·
تاريخ التحديث
2025-09-08
الوصف من
CVSS 3.1
7.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات KaTeX الأقدم من 0.16.21
الوصف
تتعلق المشكلة بوظيفة
renderToString في مكتبة JavaScript الخاصة بـ KaTeX، والتي تُستخدم لعرض التعبيرات الرياضية. وتنشأ هذه المشكلة بسبب الترميز أو الهروب غير الصحيح للمخرجات عند معالجة المعلمة htmlData. وقد يتيح ذلك لمهاجم عن بُعد تنفيذ تعليمات برمجية تعسفية. قد يواجه المستخدمون الذين يعرضون تعبيرات رياضية غير موثوقة باستخدام renderToString مدخلات ضارة تستخدم htmlData لتنفيذ تعليمات برمجية JavaScript تعسفية أو إنشاء HTML غير صالح.التوصيات
بالنسبة للإصدارات الأقدم من 0.16.21، قم بالتحديث إلى KaTeX v0.16.21 لإزالة هذه الثغرة الأمنية.
كحل مؤقت، ضع في اعتبارك تعطيل الخيار
trust أو تهيئته لحظر أوامر htmlData.احظر المدخلات التي تحتوي على السلسلة الفرعية
”htmlData“.قم بتنقية مخرجات HTML من KaTeX لتقليل مخاطر الاستغلال.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾