PT-2026-144725
CVE-2026-126070
·
تاريخ النشر
2026-11-10
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Action View الإصدارات السابقة لـ 8.1.4.1
Action View الإصدارات السابقة لـ 8.0.5.2
Description
تقوم الدالة
strip tags() في Action View بإرجاع مخرجات منقحة معلمة بأنها html safe ، ولكن أداة التنقية الأساسية تقوم بتشفير &, < و > فقط، وتترك علامات الاقتباس المزدوجة (") وعلامات الاقتباس المفردة (') غير مشفرة. نظرًا لأن ERB لا يقوم بتهريب السلاسل النصية المعلمة بأنها html safe ، فإن المدخلات غير الموثوقة التي تمر عبر strip tags() ويتم عرضها داخل قيمة سمة HTML مقتبسة (مثل سمة title أو علامة <meta content>) قد تسمح للمهاجم بإغلاق السمة وإضافة سمات جديدة، مما قد يؤدي إلى Cross-Site Scripting (XSS)، وهي تقنية تستخدم لحقن نصوص برمجية خبيثة في صفحات الويب. المخرجات التي يتم عرضها كمحتوى عنصر لا تتأثر.Recommendations
التحديث إلى الإصدار 8.1.4.1.
التحديث إلى الإصدار 8.0.5.2.
كإجراء مؤقت، تجنب عرض مخرجات الدالة
strip tags() داخل سمات HTML عند التعامل مع مدخلات غير موثوقة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾