PT-2026-138386
CVE-2026-62346
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-06
الوصف من
CVSS 3.1
7.6
عاليةالمقاييسAV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Wanderer الإصدارات السابقة لـ 0.19.3
Description
توجد مشكلة حيث يمكن لمستخدم محلي مصرح له إرسال قيم
waypoint.name و waypoint.icon مصممة خصيصاً. يتم إدراج هذه القيم في قالب innerHTML في web/src/lib/vendor/maplibre-elevation-profile/elevationprofile.ts دون ترميز HTML أو التحقق من صحة الأيقونة. يسمح هذا للضحية التي تعرض ملف تعريف الارتفاع بتنفيذ نص برمجى يتحكم فيه المهاجم في متصفحهم، مما قد يؤدي إلى كشف بيانات الجلسة أو تنفيذ إجراءات في سياق الضحية. بالإضافة إلى ذلك، يمكن لنقاط المسار الموحدة (federated waypoints) نقل هذه الحقول الخبيثة عبر المثيلات دون أن يتطلب ذلك وجود حساب محلي للمهاجم على المثيل المستلم.Recommendations
التحديث إلى الإصدار 0.19.3.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾