PT-2026-22839
CVE-2026-26266
·
تاريخ النشر
2026-03-03
·
تاريخ التحديث
2026-03-04
الوصف من
CVSS 3.1
9.3
حرجةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات AliasVault 0.25.3 وما دونها
الوصف
AliasVault هو مدير كلمات مرور يركز على الخصوصية ويحتوي على أسماء مستعارة مدمجة للبريد الإلكتروني. توجد ثغرة أمنية من نوع البرمجة النصية عبر المواقع (XSS) المخزنة في وظيفة عرض رسائل البريد الإلكتروني في عميل الويب الخاص بـ AliasVault. عند عرض رسائل البريد الإلكتروني المستلمة على اسم مستعار، يتم عرض محتوى HTML داخل إطار iframe باستخدام السمة
srcdoc، التي لا تتضمن عزلًا للمصدر. يمكن للمهاجم إرسال بريد إلكتروني مُعدّل يحتوي على جافا سكريبت ضار إلى أي اسم مستعار بريد إلكتروني في AliasVault. وعندما تقوم الضحية بعرض البريد الإلكتروني على عميل الويب، يتم تنفيذ البرنامج النصي من نفس مصدر التطبيق. لم يتم تطبيق أي عملية تنقية أو عزل (sandboxing) على محتوى HTML للرسالة قبل عرضه. يتم استغلال الثغرة الأمنية عند عرض رسائل البريد الإلكتروني التي تحتوي على كود JavaScript ضار. يقوم المكون المعرض للخطر بعرض محتوى HTML داخل إطار iframe باستخدام srcdoc.التوصيات
قم بالتحديث إلى الإصدار 0.26.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾