PT-2026-146610
CVE-2026-126279
·
تاريخ النشر
2026-11-13
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 4.0
7.0
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
NocoDB الإصدارات السابقة لـ 2026.06.2
Description
توجد ثغرة cross-site scripting مخزنة في المكون
PromptWithFields.vue. يقوم التطبيق بمعالجة مراجع الحقول غير المفلترة من مطالبات حقول الذكاء الاصطناعي كـ HTML داخل تلميح (tooltip). يمكن للمستخدمين الذين لديهم دور Creator أو أعلى تخزين علامات (markup) خبيثة في مرجع حقل المطالبة، والتي يتم تنفيذها عندما يفتح الضحايا تكوين الحقل، مما يسمح بسرقة رمز جلسة localStorage لإجراء مكالمات API مصادق عليها باسم الضحية.Recommendations
تحديث NocoDB إلى الإصدار 2026.06.2 أو إصدار أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾