CVE-2026-110802

اسم البرنامج المصاب والإصدارات المتأثرة Altair الإصدارات من 7.2.4 إلى 8.5.7

Description في ملف packages/altair-iframe-sandbox/src/main.ts يقوم التطبيق بقراءة plugin sandbox opts من سلسلة استعلام iframe-sandbox ويمرر scriptUrls التي يتحكم فيها المهاجم إلى دالة injectScript() في packages/altair-core/src/utils/inject.ts والتي تقوم بإنشاء عناصر نصية برمجية (script elements) في الصفحة. وبينما يستخدم التدفق المقصود إطار iframe مع sandbox allow-scripts وبدون allow-same-origin، فإن التنقل المباشر إلى URL الخاص بـ iframe-sandbox مصمم خصيصاً يتجاوز هذا العزل. يسمح هذا بتنفيذ النصوص البرمجية المقدمة في الأصل الذي يخدم Altair، مما يتيح الوصول إلى التخزين الذي يمكن قراءته بواسطة النصوص البرمجية وإجراء طلبات من نفس الأصل وفقاً لعناصر التحكم في المصادقة وملفات تعريف الارتباط الخاصة بالنشر.

Recommendations التحديث إلى الإصدار 8.5.8.