PT-2026-146086
CVE-2026-126363
·
تاريخ النشر
2026-11-12
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 4.0
2.3
منخفضةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:P/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
@astrojs/solid-js الإصدارات من 0.2.0 إلى 7.1.1
Description
يفشل برنامج الرندرة @astrojs/solid-js في إجراء ترميز HTML للفتحة (slot) المسماة المدرجة في سمة
name لغلاف <astro-slot>. يسمح هذا لاسم فتحة يتم التحكم فيه عبر الطلب ويحتوي على علامة اقتباس بإنهاء السمة وحقن HTML نشط، مما يؤدي إلى حدوث ثغرة cross-site scripting منعكسة. يحدث هذا عندما تمرر الصفحة مدخلات يتم التحكم فيها عبر الطلب كاسم للفتحة، ويتم ترطيب (hydrate) مكون Solid باستخدام توجيه client:* ويقوم المكون بالوصول ديناميكيًا إلى خاصية الفتحة التي اختارها المهاجم.Recommendations
تحديث @astrojs/solid-js إلى الإصدار 7.1.2.
كإجراء مؤقت، تجنب استخدام المدخلات التي يتم التحكم فيها عبر الطلب كاسم للفتحة، أو قم بتعيين هذه المدخلات إلى مجموعة ثابتة من أسماء الفتحات المعروفة قبل تمريرها إلى المكون.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾