CVE-2026-113659

اسم البرنامج المصاب والإصدارات المتأثرة ApostropheCMS الإصدارات 3.x و 4.0.0 إلى 4.32.2

Description توجد مشكلة تلوث النموذج الأولي (prototype pollution) من جانب العميل في دالة apos.http.parseQuery(). يفشل المحلل في تنقية المفاتيح proto و constructor و prototype عند معالجة سلاسل استعلام URL. يمكن للمهاجم غير المصرح له إرسال رابط مصمم خصيصاً إلى مستخدم مصرح له؛ وعندما يقوم الضحية بتحميل صفحة تحتوي على حزمة المسؤول، يتم تحليل سلسلة الاستعلام تلقائياً، مما يسمح للمهاجم بكتابة خصائص عشوائية في Object.prototype.

يمكن تصعيد هذا التلوث إلى ثغرة XSS قائمة على DOM لأن واجهة المسؤول مبنية باستخدام Vue. يتم التقاط خاصية قابلة للتعداد ملوثة، مثل innerHTML بواسطة روتين تركيب العناصر في Vue وكتابتها في DOM، مما يؤدي إلى تنفيذ JavaScript عشوائي في جلسة الضحية. يؤثر هذا على أي مستخدم مسجل دخوله، بدءاً من دور guest وصولاً إلى دور admin.

Recommendations تحديث ApostropheCMS إلى الإصدار 4.33.0. كإجراء تخفيف مؤقت، قم بتقييد عدد المستخدمين الذين لديهم حسابات مصرح لها، ونبه المستخدمين بعدم فتح روابط غير موثوقة أثناء تسجيل دخولهم.