PT-2026-145457
CVE-2026-126800
·
تاريخ النشر
2026-11-11
·
تاريخ التحديث
2026-11-11
الوصف من
CVSS 3.1
8.7
عاليةالمقاييسAV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
@hydrooj/ui-default الإصدارات السابقة لـ 4.59.1
Description
توجد ثغرة نصية برمجية عابرة للمواقع (XSS) مخزنة حيث يمكن للمستخدمين المسجلين حقن نصوص برمجية عن طريق وضع علامات اقتباس مزدوجة في رموز فئة اللغة داخل
markdown-it-xss.ts. يمكن للمهاجم تخزين حمولة ضارة في السيرة الذاتية لملفه الشخصي، والتي يتم تنفيذها عندما يقوم المسؤولون أو المستخدمون الآخرون بعرض الملف الشخصي. قد يؤدي ذلك إلى سرقة ملف تعريف ارتباط الجلسة sid غير المحمي بـ httpOnly، مما يسمح باختطاف الجلسة.Recommendations
التحديث إلى الإصدار 4.59.1.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾