PT-2026-140004
CVE-2026-124491
·
تاريخ النشر
2026-11-08
·
تاريخ التحديث
2026-11-08
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
SunEditor الإصدارات السابقة لـ 3.4.0
Description
توجد ثغرة cross-site scripting مخزنة في تابع
create() الخاص بإضافة FileUpload. يقوم التطبيق بتعيين أسماء الملفات التي يعيدها الخادم إلى innerHTML دون إجراء عملية escaping مناسبة. يتيح ذلك للمهاجمين رفع ملفات بأسماء تحتوي على HTML تتجاوز html.clean()، مما يؤدي إلى تنفيذ JavaScript في متصفحات المستخدمين عند تحميل المحتوى أو عناصر المعرض، وهو ما قد يؤدي إلى سرقة الجلسة.Recommendations
التحديث إلى الإصدار 3.4.0 أو أحدث.
كإجراء تخفيف مؤقت، قم بتقييد استخدام إضافة FileUpload حتى يتم تطبيق التحديث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾