PT-2026-113942 · Omnifaces · Omnifaces
CVE-2026-102695
·
تاريخ النشر
2026-07-24
·
تاريخ التحديث
2026-10-14
CVSS v3.1
8.2
عالية
| المتجه | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H |
اسم البرنامج المصاب والإصدارات المتأثرة
OmniFaces الإصدارات السابقة لـ 1.14.3
OmniFaces الإصدارات السابقة لـ 2.7.33
OmniFaces الإصدارات السابقة لـ 3.14.23
OmniFaces الإصدارات السابقة لـ 4.7.12
OmniFaces الإصدارات السابقة لـ 5.4.2
Description
يقبل CombinedResourceHandler معرفات الموارد المدمجة المضغوطة والمشفرة بنظام base64 والصحيحة هيكلياً دون التحقق مما إذا كان الخادم قد أصدرها. يسمح هذا لمعرف مزور بالتسبب في مخرجات فك تشفير غير محدودة، أو إضافة معرفات معاد بناؤها فريدة إلى ذاكرة التخزين المؤقت لعمر العملية، أو دمج موارد أخرى غير النصوص البرمجية وأوراق الأنماط. نظراً لعدم تطبيق
jakarta.faces.RESOURCE EXCLUDES ، يمكن لمعرف مزور الكشف عن مصدر Facelets من شجرة موارد تطبيق الويب أو META-INF/resources. في عمليات النشر التي تستخدم تعيين CDN الشامل، يمكن لمعرف مزور يختار omnifaces.graphic أن يتسبب في جلب من جانب الخادم يكون أعمى ويعتمد على عملية النشر، حيث يتم اشتقاق الوجهة جزئياً من ترويسة Host للطلب. تؤدي هذه المشكلة إلى استنفاد الذاكرة والكشف المحدود عن الموارد.Recommendations
تحديث OmniFaces إلى الإصدار 1.14.3 أو أحدث.
تحديث OmniFaces إلى الإصدار 2.7.33 أو أحدث.
تحديث OmniFaces إلى الإصدار 3.14.23 أو أحدث.
تحديث OmniFaces إلى الإصدار 4.7.12 أو أحدث.
تحديث OmniFaces إلى الإصدار 5.4.2 أو أحدث.
استغلال
إصلاح
Insufficient Verification of Data Authenticity
XSS
Missing Authorization
Allocation of Resources Without Limits
Files Accessible to External Parties
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Omnifaces