PT-2025-14115
CVE-2025-30210
·
تاريخ النشر
2025-04-01
·
تاريخ التحديث
2025-09-23
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:L/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Bruno الأقدم من 1.39.1
الوصف
تنشأ المشكلة من مكونات تلميحات الأدوات المخصصة التي تستخدم react-tooltip، والتي تحدد المحتوى كـ HTML خام وتقوم بحقنه في DOM عند تمرير المؤشر. وهذا، إلى جانب القيود غير الصارمة لسياسة أمان المحتوى، يسمح بتنفيذ أي نص HTML صالح يحتوي على سكريبت مضمن عند تمرير المؤشر فوق اسم بيئة. تقتصر مساحة الهجوم على السيناريوهات التي يستورد فيها المستخدمون مجموعات من المصادر غير الموثوقة. ويتطلب استغلال هذه الثغرة إجراءً من المستخدم، وتحديدًا تنزيل وفتح ملف تصدير مجموعة خبيثة وتمرير المؤشر فوق اسم البيئة.
التوصيات
بالنسبة للإصدارات الأقدم من 1.39.1، قم بالتحديث إلى الإصدار 1.39.1 لإصلاح المشكلة. كإجراء مؤقت، يُنصح بتجنب استيراد مجموعات الخطوط غير الموثوق بها أو الخبيثة، وتقييد استخدام التلميحات المخصصة حتى يتم تطبيق التحديث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾