PT-2026-20325
CVE-2026-25500
·
تاريخ النشر
2026-01-01
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Rack الأقدم من 2.2.22
إصدارات Rack الأقدم من 3.1.20
إصدارات Rack الأقدم من 3.2.5
الوصف
يقوم مكون
Rack::Directory في Rack بإنشاء فهارس دليل بتنسيق HTML تحتوي على روابط قابلة للنقر لكل إدخال ملف. إذا كان هناك ملف باسم أساسي يبدأ بمخطط javascript: (على سبيل المثال، javascript:alert(1))، فإن الفهرس الذي يتم إنشاؤه يتضمن رابطًا يحتوي على سمة href محددة لهذا المخطط. يؤدي النقر على هذا الرابط إلى تنفيذ جافا سكريبت في المتصفح. وينتج عن ذلك ثغرة «البرمجة النصية عبر المواقع» (XSS) من جانب العميل في قوائم الدلائل التي يُنشئها Rack::Directory. تحدث المشكلة لأن الاسم الأساسي للملف يتم إدراجه مباشرةً في السمة href دون أي تحقق من الصحة أو توحيد. المكون المعرض للخطر هو Rack::Directory.التوصيات
قم بالتحديث إلى الإصدار 2.2.22 أو أحدث من Rack.
قم بالتحديث إلى الإصدار 3.1.20 أو أحدث من Rack.
قم بالتحديث إلى الإصدار 3.2.5 أو أحدث من Rack.
تجنب عرض الدلائل التي يتحكم فيها المستخدم عبر
Rack::Directory.قم بتطبيق سياسة أمان المحتوى (CSP) صارمة لتقليل تأثير المشكلات المحتملة المتعلقة بالتنفيذ من جانب العميل.
قم بتقييد أو تنقية أسماء الملفات المرسلة لمنع البادئات الخطيرة لمخطط URI.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾