PT-2026-115114 · Unknown · Htmlunit-Neko

CVE-2026-104828

·

تاريخ النشر

2026-10-15

·

تاريخ التحديث

2026-10-16

CVSS v3.1

7.2

عالية

المتجهAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة HtmlUnit Neko الإصدارات السابقة لـ 5.4.0
الوصف يحتوي HtmlUnit Neko، وهو تكييف لـ NekoHTML، على مشكلة حيث يقوم HTMLWriterFilter بكتابة محتوى أحرف TEXTAREA و TITLE التي تم فك تشفيرها بدون ترميز الكيانات. يحدث هذا لأن كلا العنصرين يتم التعامل معهما كمحتوى خاص. خلال دورة التحليل والتسلسل، يتم فك تشفير مراجع الكيانات داخل عناصر النص الخام هذه بواسطة المحلل ثم يتم إصدارها كعلامات خام بواسطة دالة printCharacters()، مما يغير دلالات المستند. يمكن للتطبيقات التي تستخدم htmlunit-neko في أداة تنقية HTML أو تصفية المحتوى أو خط أنابيب التحليل والتحويل والتسلسل أن تحول النصوص المشفرة التي يتحكم فيها المهاجم إلى علامات قابلة للتنفيذ عند عرضها بواسطة المتصفح.
التوصيات التحديث إلى الإصدار 5.4.0.

استغلال

إصلاح

XSS

وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
dbugs@ptsecurity.com

تصنيف نقاط الضعف

CWE-79

المعرّفات ذات الصلة

CVE-2026-104828
GHSA-39XG-PRHF-8785

المنتجات المتأثرة

Htmlunit-Neko