PT-2026-29624
CVE-2026-34559
·
تاريخ النشر
2026-04-01
·
تاريخ التحديث
2026-04-03
الوصف من
CVSS 3.1
9.1
حرجةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات CI4MS الأقدم من 0.31.0.0
الوصف
لا يقوم التطبيق بتنقية المدخلات التي يتحكم فيها المستخدم بشكل صحيح عند إنشاء أو تعديل علامات المدونة. يمكن للمهاجم حقن حمولة JavaScript ضارة في حقل اسم العلامة، والتي يتم تخزينها بعد ذلك على جانب الخادم. يتم عرض هذه الحمولة المخزنة بشكل غير آمن عبر صفحات العلامات العامة وواجهات الإدارة دون ترميز الإخراج المناسب، مما يؤدي إلى حدوث هجوم البرمجة النصية عبر المواقع (XSS) المخزنة. تشمل الوظائف المتأثرة منطق إنشاء علامات المدونة وتحريرها وتخزينها واسترجاعها. يمكن أن تؤدي هذه الثغرة الأمنية إلى تنفيذ تعليمات جافا سكريبت تعسفية في متصفحات الضحايا، مما قد يؤدي إلى تصعيد الامتيازات، والاستيلاء الكامل على حساب المسؤول، واختراق التطبيق بالكامل. نقاط نهاية واجهة برمجة التطبيقات (API) المتأثرة هي
/backend/blogs/tags/ و/blog/{id}. المعلمة المعرضة للخطر هي حقل اسم العلامة.التوصيات
قم بتطبيق ترميز المخرجات على جميع البيانات التي يتحكم فيها المستخدم قبل عرضها في المتصفح. قم بتنفيذ عملية تنقية المدخلات لتنقية جميع المدخلات التي يقدمها المستخدم بشكل صحيح قبل معالجتها أو عرضها. تجنب أساليب معالجة DOM غير الآمنة مثل
.html() وinnerHTML. قم بفرض رؤوس الأمان وسمات ملفات تعريف الارتباط، بما في ذلك سياسة أمان المحتوى (CSP)، وعلامة HttpOnly على ملفات تعريف الارتباط الخاصة بالجلسة، وسمة SameSite، وعلامة Secure.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾