PT-2026-118613 · Cachet · Cachet
CVE-2026-113712
·
تاريخ النشر
2026-10-20
·
تاريخ التحديث
2026-10-21
CVSS v4.0
4.8
متوسطة
| المتجه | AV:N/AC:L/AT:N/PR:H/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N |
اسم البرنامج المصاب والإصدارات المتأثرة
Cachet الإصدارات السابقة لـ 2.4.2
Cachet الإصدار 3
Description
توجد ثغرة Cross-Site Scripting (XSS) مخزنة في نموذج إنشاء الحوادث. يمكن للمهاجم المصرح له حقن HTML أو JavaScript ضار في حقلي
Incident Name و Incident Message عبر endpoint /dashboard/incidents/. يحدث هذا لأن النظام لا يقوم بتطهير سمات معالج أحداث HTML بشكل صحيح. يتم تنفيذ الكود المحقون في متصفح أي مستخدم يعرض صفحة الحالة العامة، مما قد يؤدي إلى سرقة رموز الجلسة، وسرقة رموز XSRF، والاستيلاء الكامل على الحسابات، بما في ذلك حسابات المسؤولين.Recommendations
بالنسبة للإصدارات السابقة لـ 2.4.2، قم بتطبيق التصحيحات المقدمة في commits 57b44a8bac0b250b0d5751e93e0349070d14606e و 23adbb88ffa819f92be4a905ff1d812670d980a2 في
cachethq/core.
بالنسبة للإصدار 3، قم بتقييد الوصول إلى endpoint /dashboard/incidents/ أو تجنب استخدام حقلي Incident Name و Incident Message حتى يتم تطبيق الإصلاح.
كإجراء تخفيف مؤقت، قم بتقييد قدرة المستخدمين على إنشاء حوادث عبر endpoint /dashboard/incidents/.إصلاح
XSS
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Cachet