PT-2026-26486
CVE-2026-33347
·
تاريخ النشر
2026-01-01
·
تاريخ التحديث
2026-09-30
الوصف من
CVSS 4.0
6.3
متوسطةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:L/SI:L/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
league/commonmark من الإصدار 2.3.0 حتى 2.8.1
الوصف
يُعتبر
DomainFilteringAdapter الموجود ضمن ملحق Embed عرضة لتجاوز قائمة السماح بسبب عدم وجود تأكيد حدود اسم المضيف في التعبير النمطي لمطابقة النطاق. يمكن لنطاق ضار، مثل youtube.com.evil، اجتياز فحص قائمة السماح عندما يكون youtube.com نطاقًا مسموحًا به. وهذا يتيح وجود ناقلين محتملين للهجوم: تزوير الطلبات من جانب الخادم (SSRF) والبرمجة النصية عبر المواقع (XSS). يقوم OscaroteroEmbedAdapter بإرسال طلبات HTTP من جانب الخادم إلى عنوان URL المضمن، وقد يؤدي تجاوز مرشح النطاقات إلى إرسال طلبات إلى مضيفات يسيطر عليها المهاجم. يقوم EmbedRenderer بإخراج استجابة oEmbed بتنسيق HTML مباشرةً إلى الصفحة دون تنقية، مما يسمح للمهاجم الذي يتحكم في النطاق الذي تم تجاوزه بإرجاع كود HTML/JavaScript تعسفي.التوصيات
التحديث إلى الإصدار 2.8.2 أو أحدث.
تعطيل ملحق التضمين.
توفير تطبيق مخصص لتصفية النطاقات لواجهة
EmbedAdapterInterface.تمكين سياسة أمان المحتوى (CSP) وقيود جدار الحماية الصادرة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾