PT-2025-3268
CVE-2024-56328
·
تاريخ النشر
2025-02-04
·
تاريخ التحديث
2025-09-26
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:L
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
Discourse (الإصدارات المتأثرة غير محددة)
الوصف
تسمح هذه الثغرة لمهاجم بتنفيذ تعليمات برمجية JavaScript عشوائية في متصفحات المستخدمين عند نشر رابط URL Onebox مصمم بشكل خبيث. تؤثر هذه المشكلة فقط على المواقع التي تم تعطيل سياسة أمان المحتوى (CSP) فيها. لا يتوفر العدد التقديري للأجهزة التي قد تكون متأثرة في جميع أنحاء العالم. ولا توجد معلومات عن حوادث فعلية تم فيها استغلال هذه الثغرة الأمنية.
تتضمن التفاصيل الفنية حول الاستغلال استخدام رابط Onebox ضار لتنفيذ كود JavaScript تعسفي.
التوصيات
بالنسبة لجميع الإصدارات المتأثرة، قم بالتحديث إلى أحدث إصدار من Discourse لحل المشكلة.
كحل مؤقت، ضع في اعتبارك تمكين سياسة أمان المحتوى (CSP)، أو تعطيل Oneboxes المضمنة بشكل عام، أو السماح بنطاقات محددة لاستخدام Oneboxing حتى يتم حل المشكلة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾