PT-2026-118254
CVE-2026-110306
·
تاريخ النشر
2026-10-20
·
تاريخ التحديث
2026-10-31
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المتأثر والإصدارات المتأثرة
fast-uri الإصدارات السابقة لـ 2.4.8
fast-uri الإصدارات من 3.0.0 إلى 3.1.8
fast-uri الإصدارات من 4.0.0 إلى 4.2.2
الوصف
يقوم البرنامج بفك ترميز المكون المخطط (scheme) باستخدام دالة
unescape() العالمية القديمة قبل التحقق من صحته. يسمح هذا للمدخلات التي تحتوي على مخططات مرمزة بنسبة مئوية بأن تظهر كمخططات نشطة، وهو ما يخالف معيار RFC 3986. قد تؤدي التطبيقات التي تفحص المخططات الخطيرة في المدخلات الخام ثم تخزن أو تعرض النتيجة الموحدة إلى تحويل سلسلة نصية خاملة إلى رابط javascript أو data أو vbscript قابل للتنفيذ، مما يؤدي إلى ثغرة cross-site scripting مخزنة أو منعكسة. بالإضافة إلى ذلك، تعامل دالة equal() المخططات المرمزة والعادية على أنها متطابقة، مما قد يسمح بتجاوز قوائم السماح القائمة على المساواة.التوصيات
التحديث إلى الإصدار 2.4.8 أو أحدث.
التحديث إلى الإصدار 3.1.9 أو أحدث.
التحديث إلى الإصدار 4.2.3 أو أحدث.
رفض المدخلات التي يحتوي جزء المخطط فيها على علامة النسبة المئوية.
التحقق من المخطط الذي تم تحليله مقابل قائمة سماح بعد التوحيد واستخدام النتيجة التي تم تحليلها بدلاً من السلسلة النصية الخام.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾