PT-2026-147434
CVE-2026-129447
·
تاريخ النشر
2026-11-14
·
تاريخ التحديث
2026-11-14
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Kroki الإصدارات السابقة لـ 0.36.0
Description
توجد ثغرة cross-site scripting منعكسة في نقطة النهاية '/dbml/svg'. يمكن للمهاجمين غير المصرح لهم حقن روابط
javascript: من خلال تقديم قيم مصممة خصيصاً لإعدادات url أو headercolor أو لون TableGroup في جدول DBML. يسمح هذا بتنفيذ JavaScript تعسفي في أصل Kroki عندما يقوم الضحية بفتح رابط SVG مصمم خصيصاً والنقر فوق رأس الجدول.Recommendations
التحديث إلى الإصدار 0.36.0 أو أحدث.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقطة النهاية '/dbml/svg'.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾