PT-2026-26361
CVE-2026-27740
·
تاريخ النشر
2026-03-19
·
تاريخ التحديث
2026-06-27
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Discourse الأقدم من 2026.3.0-latest.1
إصدارات Discourse الأقدم من 2026.2.1
إصدارات Discourse الأقدم من 2026.1.2
الوصف
يتأثر Discourse، وهو منصة مناقشة مفتوحة المصدر، بمشكلة تتعلق بـ«البرمجة النصية عبر المواقع» (XSS). يثق النظام بشكل غير صحيح في المخرجات الصادرة عن نموذج لغوي ضخم للذكاء الاصطناعي (LLM) ويعرضها باستخدام
htmlSafe ضمن واجهة قائمة انتظار المراجعة، دون إجراء عملية تنقية كافية. يمكن للمهاجم الاستفادة من تقنيات حقن الأوامر (Prompt Injection) لجعل الذكاء الاصطناعي يولد حمولة ضارة، مثل العلامات. وعندما يقوم أحد أعضاء الفريق (المسؤول/المشرف) بعرض منشور تم الإبلاغ عنه في قائمة انتظار المراجعة، يتم تنفيذ هذه الحمولة.التوصيات
يجب تحديث الإصدارات الأقدم من 2026.3.0-latest.1.
يجب تحديث الإصدارات الأقدم من 2026.2.1.
يجب تحديث الإصدارات الأقدم من 2026.1.2.
كحل مؤقت، قم بتعطيل نصوص البرمجة الآلية لفرز المحتوى باستخدام الذكاء الاصطناعي.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾