PT-2026-147411
CVE-2025-71465
·
تاريخ النشر
2026-11-14
·
تاريخ التحديث
2026-11-14
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
@kolkov/angular-editor الإصدارات السابقة لـ 3.0.3
Description
توجد مشكلة حيث تقوم الدالة
refreshView() بكتابة HTML من ngModel أو عناصر التحكم في النماذج التفاعلية مباشرة إلى innerHTML دون استخدام DomSanitizer. يؤدي هذا إلى تجاوز خيار التطهير الافتراضي، مما يسمح للمهاجمين بتخزين HTML يحتوي على سمات معالجة الأحداث. عندما يتم تحميل هذا المحتوى لاحقاً في المحرر، يمكن أن يؤدي ذلك إلى تنفيذ برمجيات نصية عشوائية ضمن أصل التطبيق للمستخدمين الذين يفتحون المحتوى المتأثر.Recommendations
تحديث @kolkov/angular-editor إلى الإصدار 3.0.3 أو أحدث.
كإجراء مؤقت، قم بتقييد الإدخال المسموح به في
ngModel أو عناصر التحكم في النماذج التفاعلية المستخدمة في المحرر لمنع حقن سمات معالجة أحداث HTML. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾