PT-2026-20328
CVE-2026-25739
·
تاريخ النشر
2026-02-17
·
تاريخ التحديث
2026-02-26
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Indico الأقدم من 3.3.10
الوصف
يُعتبر Indico، وهو نظام لإدارة الفعاليات، عرضة لثغرة أمنية من نوع «البرمجة النصية عبر المواقع» (XSS) عند تحميل أنواع محددة من الملفات كمواد. تحدث المشكلة بسبب خلل في معالجة عمليات تحميل الملفات. يستخدم النظام Flask-Multipass، وهو نظام مصادقة متعدد الخلفيات لـ Flask. لا توجد معلومات عن عدد الأجهزة التي قد تكون متأثرة على مستوى العالم أو عن حوادث فعلية تم فيها استغلال هذه الثغرة. المكون المعرض للخطر مرتبط بوظيفة تحميل المواد.
التوصيات
قم بالتحديث إلى الإصدار 3.3.10 لحل المشكلة.
إذا كنت تستخدم nginx مع تعيين
STATIC FILE METHOD في Indico على xaccelredirect، فقم بتحديث إعدادات خادم الويب لتضمين السطر التالي في كتلة الموقع .xsf/indico/: add header Content-Security-Policy $upstream http content security policy;.كبديل، قم بتطبيق سياسة أمان المحتوى (CSP) صارمة على نقاط نهاية تنزيل المواد باستخدام إعدادات خادم الويب الخاص بك.
كبديل، قم بتقييد إنشاء المحتوى، بما في ذلك تحميل المواد، على المستخدمين الموثوق بهم فقط.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾