PT-2025-34481
CVE-2025-54812
·
تاريخ النشر
2023-05-08
·
تاريخ التحديث
2025-11-05
الوصف من
CVSS 2.0
7.8
عاليةالمقاييسAV:N/AC:L/Au:N/C:N/I:C/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة:
إصدارات Apache Log4cxx الأقدم من 1.5.0
الوصف:
يحتوي Apache Log4cxx على مشكلة تتعلق بعدم تحييد المخرجات بشكل صحيح في السجلات. عند استخدام HTMLLayout، لا يتم إخفاء أسماء المسجلات بشكل صحيح عند الكتابة إلى ملف HTML. إذا تم استخدام بيانات غير موثوق بها لاسترداد اسم المسجل، يمكن للمهاجم حقن HTML أو جافا سكريبت، مما قد يؤدي إلى برمجة عبر المواقع (XSS) عندما يفتح المستخدم ملف السجل HTML الذي تم إنشاؤه في متصفحه. ويتطلب ذلك التسلسل التالي: أن يكون Log4cxx مُهيأً لاستخدام HTMLLayout، وأن يأتي اسم المسجل من سلسلة غير موثوق بها، وأن يقوم مسجل يحمل الاسم المخترق بتسجيل رسالة، وأن يفتح المستخدم ملف السجل HTML الذي تم إنشاؤه.
التوصيات:
الترقية إلى الإصدار 1.5.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾