PT-2026-146085
CVE-2026-126362
·
تاريخ النشر
2026-11-12
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 4.0
2.3
منخفضةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:P/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
@astrojs/svelte الإصدارات من 5.7.3 إلى 9.1.1
Description
يفشل برنامج رندرة @astrojs/svelte في إجراء ترميز HTML للفتحات (slots) المسماة المدرجة في سمة
name لغلاف <astro-slot>. يسمح هذا للمهاجم بتوفير اسم فتحة يحتوي على علامة اقتباس لإنهاء السمة وحقن HTML تعسفي، مما يؤدي إلى حدوث ثغرة cross-site scripting منعكسة. يحدث هذا عندما تمرر الصفحة مدخلات يتم التحكم فيها عبر الطلب كاسم للفتحة، ويتم ترطيب (hydration) مكون Svelte باستخدام توجيه client:* ، ويقوم المكون برندرة الفتحة التي اختارها المهاجم ديناميكيًا. تتأثر كل من عملية الرندرة على الخادم وعملية الترطيب على جانب العميل.Recommendations
تحديث @astrojs/svelte إلى الإصدار 9.1.2.
كإجراء مؤقت، تجنب استخدام المدخلات التي يتم التحكم فيها عبر الطلب كاسم للفتحة، أو قم بتعيين هذه المدخلات إلى مجموعة ثابتة من أسماء الفتحات المعروفة قبل تمريرها إلى المكون.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾