PT-2026-122135
CVE-2026-55486
·
تاريخ النشر
2026-10-23
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 3.1
9.3
حرجةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Goobi viewer الإصدارات 25.08 through 26.04
Description
يحدث ثغرة Cross-Site Scripting (XSS) منعكسة في نقاط نهاية IIIF Auth 2.0 وهي 'auth/login' و 'auth/token' ضمن AuthorizationFlowResource. يقبل التطبيق معامل استعلام
origin دون التحقق من صحته، ثم يقوم بتضمينه في ترويسة الاستجابة Content-Security-Policy: frame-ancestors وفي جسم استجابة HTML كمعامل postMessage في JavaScript محاط بعلامات اقتباس مفردة. يمكن للمهاجم التحكم في استدعاءات تسجيل الدخول والرمز لحقن قيم غير مجهزة، مما يؤدي إلى تنفيذ برمجيات خبيثة.Recommendations
تحديث Goobi viewer إلى الإصدار 26.05.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾