CVE-2026-33979

إصدارات Express XSS Sanitizer السابقة للإصدار 2.0.2

إصدارات Express XSS Sanitizer 4.x و5.x

يقوم Express XSS Sanitizer، وهو برنامج وسيط لـ Express 4.x و5.x، بتنقية بيانات المدخلات التي يدخلها المستخدم في req.body وreq.query وreq.headers وreq.params لمنع هجمات البرمجة النصية عبر المواقع (XSS). توجد ثغرة يتم فيها تجاهل إعدادات التنقية التقييدية دون إشعار. وعلى وجه التحديد، عندما يتم تعيين allowedTags إلى مصفوفة فارغة ([]) وallowedAttributes إلى كائن فارغ ({})، تلجأ المكتبة بشكل خاطئ إلى الإعدادات الافتراضية المتساهلة بدلاً من إزالة جميع علامات وسمات HTML. وهذا يسمح بإدخال مجموعة واسعة من عناصر وسمات HTML، مثل <a href="..."> و<div>. تنبع المشكلة من منطق التحقق من الصحة الذي يفسر الإعدادات الفارغة بشكل خاطئ على أنها غير موجودة، مما يؤدي إلى عدم تطابق بين نية المطور والسلوك الفعلي. المكون المعرض للخطر هو منطق التنقية داخل المكتبة.

الإصدارات السابقة لـ 2.0.2: قم بالترقية إلى الإصدار 2.0.2 أو أحدث لضمان احترام الإعدادات الفارغة المحددة صراحةً لـ allowedTags وallowedAttributes.