CVE-2026-117645

اسم البرنامج المصاب والإصدارات المتأثرة phoenix html الإصدارات من 1.0.0 إلى 3.3.4 phoenix html الإصدارات من 4.0.0 إلى 4.3.9

Description يحدث ثغرة Cross-site Scripting (XSS) عندما يتحكم المهاجم في أسماء السمات، مما يسمح بحقن سمات ونصوص برمجية في HTML المُصير عبر الدالة Phoenix.HTML.attributes escape/1. تفشل الدالة key escape/1 في تحييد المسافات البيضاء في المفاتيح الثنائية بشكل صحيح، مما يسمح بإنشاء سمات جديدة مثل معالجات الأحداث. بالإضافة إلى ذلك، يتم تحويل مفاتيح atom إلى صيغة dasherized فقط، مما يسمح بمرور رموز مثل علامات الاقتباس والأقواس الزاوية. تؤثر هذه المشكلة على التطبيقات التي تبني مفاتيح السمات من مدخلات غير موثوقة وتقوم بتصييرها باستخدام HEEx <tag {@attrs}> أو content tag/3 أو استدعاءات مباشرة. كما أن المفاتيح المتداخلة data و aria و phx عرضة للتأثر أيضاً. يمكن أن يؤدي ذلك إلى تنفيذ نصوص برمجية عشوائية في متصفحات المستخدمين الذين يشاهدون الصفحات المصابة.

Recommendations تحديث phoenix html إلى الإصدار 3.3.5 أو أحدث للإصدارات في النطاق من 1.x إلى 3.x. تحديث phoenix html إلى الإصدار 4.4.0 أو أحدث للإصدارات في النطاق 4.x. عدم اشتقاق أسماء السمات من مدخلات غير موثوقة. عند الحاجة إلى مفاتيح سمات ديناميكية، يجب التحقق من كل مفتاح مقابل قائمة مسموح بها أو نمط مثل ^[a-zA-Z][a-zA-Z0-9:. -]*$ قبل تمريره إلى attributes escape/1 أو تعبير HEEx {@attrs}. تجنب إنشاء atoms من بيانات الطلبات.