PT-2026-110705 · Unknown · Open-Webui
CVSS v4.0
7.2
عالية
| المتجه | AV:N/AC:L/AT:P/PR:L/UI:A/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N |
اسم البرنامج المصاب والإصدارات المتأثرة
Open WebUI الإصدارات السابقة لـ 0.11.4
Description
توجد ثغرة cross-site scripting مخزنة في مكون
MarkdownInlineTokens.svelte. يقوم البرنامج بمعالجة روابط markdown وتحويلها إلى hrefs في عناصر anchor دون التحقق من مخطط URL. يسمح هذا للمستخدمين المصرح لهم بتضمين روابط javascript: في الدردشات المشتركة. إذا قام الضحية بالنقر فوق هذه الروابط، يمكن سرقة رمز JSON Web Token (JWT)—وهو وسيلة مدمجة وآمنة لنقل المطالبات بين طرفين—من التخزين المحلي، بما في ذلك رموز المسؤولين.Recommendations
التحديث إلى الإصدار 0.11.4 أو أحدث.
استغلال
إصلاح
XSS
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Open-Webui