PT-2026-125033
CVE-2026-115923
·
تاريخ النشر
2026-10-26
·
تاريخ التحديث
2026-10-26
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Backstage الإصدارات السابقة لـ 3.9.2
Backstage الإصدارات من 4.0.0 إلى 4.0.1
الوصف
في مكون @backstage/plugin-catalog-backend، يقوم
DefaultCatalogRulesEnforcer بمقارنة عنوان URL الخام location.target مقابل catalog.rules بينما يقوم قارئ عنوان URL بتوحيد (canonicalize) عنوان URL نفسه قبل جلبه. يمكن للمستخدم المصرح له الذي يمتلك صلاحية catalog.location.create استخدام أجزاء مسار مشفرة بنسبة مئوية (percent-encoded) لجعل عنوان URL غير موثوق يتطابق مع نمط موقع موثوق، على الرغم من أن عنوان URL الموحد يتم حله خارج هذا النطاق. يؤدي ذلك إلى قبول محتوى الكيان من مصدر غير موثوق على أنه موثوق.التوصيات
التحديث إلى الإصدار 3.9.2 أو أحدث.
التحديث إلى الإصدار 4.0.2 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾