CVE-2026-108725

اسم البرنامج المصاب والإصدارات المتأثرة Cheshire Cat AI core الإصدارات السابقة لـ 2.0.24

الوصف توجد ثغرة cross-site scripting مخزنة في إضافة التحميلات (uploads plugin). يمكن للمستخدمين المصرح لهم تحميل ملفات HTML عبر نقطة النهاية 'POST /uploads' لعدم وجود قيود على أنواع الملفات. يمكن للمهاجم إرسال رابط 'GET /uploads/{path}' العام إلى مستخدم مسجل دخوله، مما يؤدي إلى تنفيذ برمجية خبيثة في أصل التطبيق باستخدام ملف تعريف الارتباط access token الخاص بالضحية، بما في ذلك المسؤولين.

التوصيات تحديث Cheshire Cat AI core إلى الإصدار 2.0.24 أو أحدث. تقييد استخدام نقطة النهاية 'POST /uploads' لمنع تحميل ملفات HTML كإجراء تخفيف مؤقت.