PT-2026-140007
CVE-2026-124494
·
تاريخ النشر
2026-11-08
·
تاريخ التحديث
2026-11-08
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
SunEditor الإصدارات السابقة لـ 3.4.0
Description
يحدث ثغرة cross-site scripting مخزنة لأن دالة
normalizeURL() ضمن أداة التطهير html.clean() تقوم بفك ترميز الكيانات المسماة، مثل : بشكل خاطئ إلى سلسلة نصية فارغة. يسمح هذا للمهاجمين بتجاوز فحص isSafeURL() عن طريق حقن قيم href مثل javascript: والتي تقوم المتصفحات بفك ترميزها لتنفيذ JavaScript تعسفي عندما ينقر المستخدم على الرابط المخزن.Recommendations
تحديث SunEditor إلى الإصدار 3.4.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾