PT-2026-25994
CVE-2026-33035
·
تاريخ النشر
2026-03-17
·
تاريخ التحديث
2026-03-20
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
AVideo الإصدارات 25.0 وما دونها
الوصف
يحتوي AVideo، وهو منصة فيديو مفتوحة المصدر، على ثغرة من نوع «التنفيذ البرمجي عبر المواقع» (XSS) المنعكسة. يمكن لمهاجم غير معتمد تنفيذ تعليمات جافا سكريبت تعسفية في متصفح الضحية من خلال التلاعب بمعلمة URL. تتم معالجة المدخلات التي يدخلها المستخدم من معلمة URL بواسطة دالة
json encode() في PHP، ثم يتم عرضها داخل دالة جافا سكريبت باستخدام innerHTML، مما يتجاوز عملية الترميز ويسمح بتنفيذ البرنامج النصي بالكامل. السبب الجذري هو الجمع بين مدخلات المستخدم غير المُعالجة التي يتم تمريرها إلى جافا سكريبت واستخدام innerHTML الذي يعرض علامات HTML كـ DOM قابل للتنفيذ. يمكن أن يؤدي الهجوم إلى اختطاف الجلسة، والاستيلاء على الحساب، والتصيد الاحتيالي لبيانات الاعتماد من خلال نماذج تسجيل الدخول المُحقنة، وتوزيع الحمولة ذاتية الانتشار، واختراق الحساب الإداري. تنبع الثغرة الأمنية من عدم وجود تنقية مناسبة للمدخلات وأمن غير كافٍ لملفات تعريف الارتباط، وتحديدًا غياب علامة HttpOnly في ملف تعريف الارتباط PHPSESSID. يقع الكود المعرض للخطر في view/videoNotFound.php وview/js/script.js.التوصيات
يجب تحديث الإصدارات الأقدم من 26.0. كإجراء تصحيحي، قم بتشفير علامات HTML في PHP باستخدام
JSON HEX TAG | JSON HEX AMP مع دالة json encode(). أو بدلاً من ذلك، استخدم textContent بدلاً من innerHTML في كود JavaScript.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾