PT-2026-29627
CVE-2026-34562
·
تاريخ النشر
2026-04-01
·
تاريخ التحديث
2026-04-02
الوصف من
CVSS 3.1
9.0
حرجةالمقاييسAV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات CI4MS الأقدم من 0.31.0.0
الوصف
يفشل CI4MS في تنقية المدخلات التي يتحكم فيها المستخدم بشكل صحيح ضمن ”إعدادات النظام – معلومات الشركة“. تقبل العديد من حقول التكوين الإدارية، بما في ذلك ”اسم الشركة“، و”الشعار“، و”رقم هاتف الشركة“، و”رقم الهاتف المحمول للشركة“، و”البريد الإلكتروني للشركة“، ورابط iframe لخرائط Google، و”شعار الشركة“، مدخلات يتحكم فيها المهاجم يتم تخزينها على جانب الخادم ثم عرضها لاحقًا دون ترميز الإخراج المناسب. ويؤدي ذلك إلى حدوث هجوم ”التنفيذ عبر المواقع“ (XSS) القائم على DOM المخزّن مع التنفيذ الفوري على نفس الصفحة. تسمح هذه الثغرة للمهاجم بحقن حمولة JavaScript ضارة في هذه الحقول، والتي تخرج عن سياق سمة HTML وتُنفَّذ في متصفح المستخدم المصادق عليه الذي يدير الإعدادات. وقد يؤدي ذلك إلى تصعيد الامتيازات الإدارية واختراق المنصة بالكامل. نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة هي
/backend/settings/ (معلومات الشركة). المعلمات المعرضة للخطر هي حقول الإدخال الموجودة ضمن قسم «معلومات الشركة».التوصيات
الإصدارات الأقدم من 0.31.0.0: قم بالترقية إلى الإصدار 0.31.0.0 أو أحدث لمعالجة الثغرة الأمنية. تجنب طرق معالجة DOM غير الآمنة مثل
.html() وinnerHTML. قم بتطبيق ترميز كيانات HTML على جميع البيانات التي يتحكم فيها المستخدم قبل عرضها في المتصفح. قم بتنفيذ عملية تنقية المدخلات لضمان تنقية جميع المدخلات التي يقدمها المستخدم بشكل صحيح قبل معالجتها أو عرضها.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾