PT-2025-4197
CVE-2025-21288
·
تاريخ النشر
2025-01-14
·
تاريخ التحديث
2025-01-16
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:L/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات mailgen حتى الإصدار 2.0.30
الوصف
mailgen هو حزمة Node.js تُستخدم لإنشاء رسائل بريد إلكتروني بتنسيق HTML متجاوب. تعاني الإصدارات حتى 2.0.30 من مشكلة تتمثل في أن الدالة
generatePlaintext لا تزيل بشكل صحيح الكيانات HTML المشفرة من المحتوى المقدم من قبل المستخدم. وقد يؤدي ذلك إلى تضمين كود HTML نشط، مثل علامة img تحتوي على معالج أحداث، في النص العادي الناتج. وفي حال تم عرض هذا النص كـ HTML، فقد يؤدي ذلك إلى تنفيذ جافا سكريبت يتحكم فيه المهاجم. تحاول الدالة إزالة علامات HTML، لكن الكيانات HTML المشفرة تتجاوز هذه العملية ويتم فك تشفيرها لاحقًا.التوصيات
قم بالتحديث إلى الإصدار 2.0.31 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾