PT-2026-21341
CVE-2026-27568
·
تاريخ النشر
2026-02-20
·
تاريخ التحديث
2026-02-25
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات AVideo الأقدم من 21.0
الإصدار 18.0 من AVideo
الوصف
يسمح AVideo باستخدام لغة Markdown في تعليقات مقاطع الفيديو ويستخدم Parsedown (الإصدار 1.7.4) دون تفعيل «الوضع الآمن». لا يتم تنقية الروابط في Markdown بشكل مناسب، مما يسمح بعرض عناوين URI التي تبدأ بـ
javascript: كروابط قابلة للنقر. يمكن لمهاجم مسجل الدخول بامتيازات منخفضة نشر تعليق ضار يقوم بحقن جافا سكريبت دائم. وعندما ينقر مستخدم آخر على الرابط، يمكن للمهاجم تنفيذ إجراءات مثل اختطاف الجلسة، ورفع مستوى الامتيازات (بما في ذلك الاستيلاء على صلاحيات المسؤول)، وتسريب البيانات. وتُعد هذه المشكلة ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (XSS)، وفقًا لتعريف CWE-79.التوصيات
يجب تحديث الإصدارات الأقدم من 21.0 إلى الإصدار 21.0 أو أحدث.
بالنسبة للإصدار 18.0 من AVideo، قم بالتحقق من صحة مخططات URI غير الآمنة (على سبيل المثال،
javascript:) وحظرها قبل عرض Markdown.قم بتفعيل «الوضع الآمن» (Safe Mode) في Parsedown.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾