PT-2026-132148
CVE-2026-48202
·
تاريخ النشر
2026-10-29
·
تاريخ التحديث
2026-10-29
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Brave الإصدارات السابقة لـ 0.8.9
الوصف
يسمح ملحق Brave لـ WordPress بحقن محتوى تعسفي بسبب عدم تحييد وسوم HTML المتعلقة بالنصوص البرمجية بشكل صحيح. تحدث هذه المشكلة لأن الخادم يفشل في التحقق من صحة معامل POST
quizData الذي يتحكم فيه المستخدم، والذي يتم فك تشفيره واستخدامه مباشرة بدلاً من اشتقاقه من تعريفات حقول النموذج الموثوقة في جانب الخادم. يتيح ذلك للمهاجمين غير المصرح لهم حقن محتوى تعسفي في مخرجات إرسال النموذج، مثل رسائل البريد الإلكتروني للإشعارات، بشرط أن يكون هناك نموذج Brave منشور ومتاح على الموقع.التوصيات
التحديث إلى إصدار أحدث من 0.8.8.
تجنب استخدام المعامل
quizData في طلبات POST حتى يتم تحديث الملحق. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾