PT-2025-19795
CVE-2025-46734
·
تاريخ النشر
2025-05-05
·
تاريخ التحديث
2026-04-21
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
league/commonmark الإصدارات من 1.5.0 إلى 2.6.x
الوصف
ثغرة أمنية من نوع البرمجة النصية عبر المواقع (XSS) في ملحق Attributes التابع لمكتبة league/commonmark تسمح للمهاجمين عن بُعد بإدراج أوامر JavaScript ضارة في كود HTML. توفر المكتبة خيارات تكوين مثل
html input: ’strip‘ وallow unsafe links: false للتخفيف من هجمات XSS. ومع ذلك، عند تمكين ملحق Attributes، فإنه يتيح للمستخدمين إمكانية إدخال سمات HTML عشوائية في العناصر عبر صيغة Markdown باستخدام الأقواس. وقد يؤدي ذلك إلى تنفيذ كود JavaScript ضار. على سبيل المثال، يمكن للمهاجم إدخال سمات خطيرة في التطبيقات باستخدام حمولة مثل ![](){onerror=alert(1)}، مما ينتج عنه كود HTML التالي: <p><img onerror="alert(1)" src="" alt="" /></p>، مما يؤدي إلى تنفيذ جافا سكريبت فور تحميل الصفحة.التوصيات
بالنسبة للإصدارات من 1.5.0 إلى 2.6.x، يُنصح بتعطيل
AttributesExtension للمستخدمين غير الموثوق بهم.بالنسبة للإصدارات من 1.5.0 إلى 2.6.x، يُنصح بتصفية HTML المعروض باستخدام مكتبة مثل HTMLPurifier.
قم بالتحديث إلى الإصدار 2.7.0، الذي يحتوي على تعديلات لمنع هذا النوع من هجمات XSS، بما في ذلك حظر السمات التي تبدأ بـ
on بشكل افتراضي، ودعم قائمة صريحة بالسمات HTML المسموح بها، واحترام خيار التكوين الحالي allow unsafe links لـ atrقابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾