PT-2026-144972
CVE-2026-64670
·
تاريخ النشر
2026-11-11
·
تاريخ التحديث
2026-11-12
الوصف من
CVSS 3.1
9.3
حرجةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Waline الإصدارات السابقة لـ 3.15.3
Description
توجد ثغرة حقن نصي برمجي عبر المواقع (XSS) مخزنة في مكون
@waline/client. يقوم النظام بعرض المعاينة المباشرة لمحرر التعليقات باستخدام مكتبة marked بدون أداة تنقية (sanitizer) في utils/markdown.ts ويتم حقن المعاينة عبر v-html. عندما يقوم مشرف أو مدير بتحرير تعليق خبيث، يتم تزويد المحرر بمتغير orig الخام وغير المنقى، مما يؤدي إلى تنفيذ كود HTML الخاص بالمهاجم في جلسة المدير. يتيح ذلك لشخص يضع تعليقاً دون مصادقة تحقيق تصعيد في الصلاحيات.Recommendations
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.
قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾