PT-2026-129124
CVE-2026-118257
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 3.1
7.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Vue I18n الإصدارات 11.1.10 through 11.4.13
Vue I18n الإصدارات 12.0.0-alpha.4 through 12.0.0-alpha.4
Vue I18n الإصدار 9.14.5
Vue I18n الإصدار 10.0.8
Description
عند تفعيل
escapeParameter وعرض الترجمات كـ HTML عبر v-html ، تفشل الدالة sanitizeTranslatedHtml() في التعامل بشكل صحيح مع سمة srcdoc لعناصر <iframe>. بينما يقوم برنامج التطهير بتشفير العلامات وتحييد معالجات الأحداث، تقوم المتصفحات بفك تشفير مراجع الأحرف هذه عند تحليل قيمة srcdoc كمستند HTML متداخل من نفس الأصل. يسمح هذا للمعلمات التي يتحكم فيها المهاجم أو محتوى الترجمة الموجود في srcdoc بتنفيذ برامج نصية عشوائية في أصل التطبيق، مما يؤدي إلى ثغرة Cross-Site Scripting (XSS) مستندة إلى DOM. يمكن حدوث هذه المشكلة إذا تم تمرير قيم غير موثوقة كمعلمات داخل srcdoc ، أو إذا كانت رسائل الترجمة تحتوي على HTML غير موثوق به، أو إذا تم استخدام قيم مسمى غير موثوق بها بالتزامن مع قائمة.Recommendations
التحديث إلى الإصدار 11.4.14 أو أحدث.
التحديث إلى الإصدار 12.0.0-alpha.5 أو أحدث.
الانتقال إلى الإصدار 11 للإصدارات 9.14.5 و 10.0.8 لأنها لم تعد مدعومة.
تجنب عرض الترجمات التي قد تحتوي على محتوى غير موثوق به باستخدام
v-html واستخدم استكمال المكونات بدلاً من ذلك.
لا تضع سمة srcdoc في رسائل الترجمة وتجنب تمرير قيم إليها.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾