PT-2026-141852
CVE-2026-63010
·
تاريخ النشر
2026-11-10
·
تاريخ التحديث
2026-11-10
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
Group-Office الإصدارات السابقة لـ 6.8.172
Group-Office الإصدارات السابقة لـ 25.0.108
Group-Office الإصدارات السابقة لـ 26.0.33
Description
يمكن لمستخدم بصلاحيات منخفضة إنشاء تذكيرات يدوية تحتوي على HTML أو JavaScript عشوائي وتعيينها لمستخدمين آخرين، بما في ذلك المسؤولين. عندما يقوم متصفح الضحية بالتحقق من الإشعارات المعلقة، يتم عرض الحمولة دون تنقية كـ innerHTML في لوحة إشعارات ExtJS. يؤدي ذلك إلى حدوث Stored Cross-Site Scripting (XSS)، وهي حالة يتم فيها تخزين النصوص البرمجية الخبيثة بشكل دائم على الخادم وتنفيذها في متصفح الضحية، مما قد يؤدي إلى الاستيلاء الكامل على الحساب (ATO) لجلسة الضحية.
Recommendations
التحديث إلى الإصدار 6.8.172 أو أحدث.
التحديث إلى الإصدار 25.0.108 أو أحدث.
التحديث إلى الإصدار 26.0.33 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾