PT-2026-126372
CVE-2026-117537
·
تاريخ النشر
2026-04-10
·
تاريخ التحديث
2026-10-27
الوصف من
CVSS 3.1
4.1
متوسطةالمقاييسAV:N/AC:H/PR:H/UI:N/S:U/C:L/I:L/A:L
اسم البرنامج المصاب والإصدارات المتأثرة
REDAXO الإصدارات السابقة لـ 5.21.0
Description
يمكن للمهاجمين المصرح لهم تنفيذ هجوم cross-site scripting منعكس عن طريق حقن النصوص البرمجية من خلال المعلمة
type في واجهة برمجة تطبيقات 'metainfo default fields create'. يحدث هذا لأن الدالة rex view::message() تقوم بمعالجة حمولة HTML دون تنقية، مما يسمح بتنفيذ النصوص البرمجية في جلسة النظام الخلفية للضحية عند اتباع رابط مصمم يحتوي على رمز CSRF صالح.Recommendations
التحديث إلى الإصدار 5.21.0 أو أحدث.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقطة نهاية واجهة برمجة التطبيقات 'metainfo default fields create'.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾