CVE-2026-102562

اسم البرنامج المصاب والإصدارات المتأثرة AcyMailing الإصدارات السابقة لـ 11.1.1

الوصف يحدث ثغرة Cross-Site Scripting مخزنة عبر المعلمة customField[] في نقطة النهاية 'frontusers::subscribe'. ينبع هذا الخلل من عدم كفاية تنقية المدخلات في الدالة acym cleanVar()، حيث يقوم برنامج إزالة وسوم HTML بمطابقة الوسوم الكاملة فقط. بالإضافة إلى ذلك، تقوم الدالة SubscriberInsertion::replaceUserInformation() وقالب عرض الأرشيف باستبدال قيمة حقل المشترك المخزنة في جسم البريد وإرسالها بدون ترميز HTML. يتيح ذلك للمهاجمين غير المصرح لهم حقن برمجيات ويب عشوائية يتم تنفيذها عندما يصل المستخدم، بما في ذلك المسؤولون الذين ينقرون على الرابط في شاشة سجل المشتركين، إلى رابط الأرشيف عبر الإنترنت للمشترك المتضرر.

التوصيات التحديث إلى إصدار أحدث من 11.1.0. تقييد الوصول إلى نقطة النهاية 'frontusers::subscribe' أو تجنب استخدام المعلمة customField[] حتى يتم تطبيق التحديث.