PT-2026-20982
CVE-2026-27120
·
تاريخ النشر
2026-02-19
·
تاريخ التحديث
2026-03-02
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Leafkit الأقدم من 1.4.1
الوصف
لا تقوم دالة
htmlEscaped في Leafkit بتحويل الأحرف الخاصة في HTML بشكل صحيح عند التعامل مع مجموعات الغرافيم الموسعة. ويرجع ذلك إلى أن الدالة لا تقوم بتحويل الأحرف إلا إذا كانت مجموعات الغرافيم الموسعة متطابقة. عند استخدام مجموعة غرافيمات موسعة تحتوي على حرف HTML خاص بالإضافة إلى أحرف أخرى، يمكن التحايل على آلية الهروب. وعلى وجه التحديد، في سمات HTML، قد يؤدي ذلك إلى حدوث هجوم Cross-Site Scripting (XSS) إذا كانت متغير leaf في السمة خاضعة لسيطرة المستخدم. تنبع المشكلة من الطريقة التي يتعامل بها لغة Swift مع السلاسل القائمة على مجموعات الحروف الممتدة، والتي تختلف عن النهج القائم على الأحرف في HTML. قد تتأثر الدالة replacingOccurrences(of:with:) أو replacing، اعتمادًا على إصدار لغة Swift. يمكن استغلال هذه الثغرة الأمنية عن طريق إنشاء حمولة ضارة داخل أحد السمات، مثل السمة title، لحقن كود HTML أو JavaScript تعسفي.التوصيات
يجب تحديث الإصدارات الأقدم من 1.4.1 إلى الإصدار 1.4.1 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾