CVE-2026-44977

اسم البرنامج المصاب والإصدارات المتأثرة countly-server الإصدارات السابقة لـ 24.05.50 countly-server الإصدارات السابقة لـ 25.03.44

Description يسمح خلل في إضافة star-rating لمسؤول تطبيق غير عالمي بتحميل محتوى نشط عبر وظيفة uploadFeedbackFile في نقطة النهاية 'plugins/star-rating/api/api.js'. يثق النظام في نوع MIME المقدم، مما يسمح بتخزين ملفات ضارة. لاحقاً، يقوم الملف 'plugins/star-rating/frontend/app.js' بتقديم هذا المحتوى من المسار 'feedback/preview/' باستخدام نوع محتوى (Content-Type) يتحكم فيه المهاجم. إذا قام مسؤول عالمي بفتح المعاينة، يتم تنفيذ الحمولة البرمجية ضمن نطاق Countly، مما يؤدي إلى كشف بيانات جلسة المصادقة مثل auth token و csrf token.

Recommendations تحديث countly-server إلى الإصدار 24.05.50 أو أحدث. تحديث countly-server إلى الإصدار 25.03.44 أو أحدث.