PT-2025-19769
CVE-2025-46340
·
تاريخ النشر
2025-05-05
·
تاريخ التحديث
2025-09-03
الوصف من
CVSS 3.1
7.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Misskey من 12.0.0 حتى 2025.4.0
الوصف
تنشأ المشكلة عن خلل في عملية التحقق من الصحة التي تتم في
UrlPreviewService وMkUrlPreview، مما يسمح للمهاجم بإدخال CSS تعسفي في المكون MkUrlPreview. قد يؤدي ذلك إلى الكشف عن هوية المستخدمين ووقوع هجمات أخرى على العميل. تعتمد الدالة UrlPreviewService.wrap على إرجاع عنوان URL الأصلي إذا كان يستخدم بروتوكولًا مختلفًا عن http أو https. بالإضافة إلى ذلك، لا يقوم MkUrlPreview بتشفير CSS عند تطبيق الخاصية background-image، مما يسمح للمهاجم بإنشاء عنوان URL يطبق أنماطًا عشوائية على عنصر العرض. يمكن للمهاجم نظريًّا إنشاء حمولة لحقن CSS لتوليد رسالة خطأ مزيفة، مما يخدع المستخدم ليكشف عن بيانات اعتماده أو معلومات حساسة مماثلة.التوصيات
بالنسبة لإصدارات Misskey من 12.0.0 حتى 2025.4.0، قم بالتحديث إلى الإصدار 2025.4.1، الذي يحتوي على تصحيح لهذه المشكلة. كحل مؤقت، ضع في اعتبارك تعطيل المكونين
UrlPreviewService وMkUrlPreview حتى يتم تطبيق التصحيح. قم بتقييد الوصول إلى المكون MkUrlPreview لتقليل مخاطر الاستغلال. تجنب استخدام الخاصية background-image في المكون MkUrlPreview المتأثر حتى يتم حل المشكلة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾