PT-2026-137920
CVE-2026-66295
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-06
الوصف من
CVSS 4.0
2.1
منخفضةالمقاييسAV:L/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
saxy الإصدارات من 0.7.0 إلى 1.6.x
Description
يفشل مشفر XML في التحقق من صحة أو هروب الهدف ومحتوى تعليمات المعالجة، حيث يقوم بكتابتها حرفياً في المستند الناتج. نظرًا لأن التسلسل
?> ينهي تعليمات المعالجة، يمكن للمهاجم استخدام هذا التسلسل لإغلاق البنية مبكرًا وحقن عناصر وعناصر تحكم وتعليمات معالجة إضافية تعسفية في المستند المتسلسل. يحدث هذا لأن المشفر يدمج الحقول دون التحقق منها وفقًا لقيود مواصفات XML. تعد الدالة Saxy.XML.processing instruction/2 منشئًا عامًا يسمح بتوريث هذا الخلل. يمكن أن يؤدي ذلك إلى حقن XML، مما ينتج عنه سجلات مزورة أو أوراق أنماط محقونة أو محتوى نشط عندما يتم معالجة المخرجات بواسطة محلل لاحق أو متصفح. يتم تفعيل هذه المشكلة عندما يتم تمرير عقدة {:processing instruction, name, content} إلى Saxy.encode!/2 أو Saxy.encode to iodata!/2 باستخدام مدخلات غير موثوقة.Recommendations
تحديث saxy إلى الإصدار 1.7.0 أو إصدار أحدث.
كإجراء مؤقت، تجنب وضع بيانات غير موثوقة في تعليمات المعالجة.
التحقق من صحة القيم الديناميكية قبل بناء العقدة عن طريق رفض أي محتوى يحتوي على
?> وأي هدف لا يتطابق مع إنتاج Name الخاص بـ XML أو يساوي xml بغض النظر عن حالة الأحرف.
استخدام محتوى العنصر أو السمات لنقل القيم الديناميكية بدلاً من تعليمات المعالجة. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾