CVE-2026-34564

إصدارات CI4MS الأقدم من 0.31.0.0

لا يقوم التطبيق بتنقية المدخلات التي يتحكم فيها المستخدم بشكل صحيح عند إضافة «صفحات» إلى قوائم التنقل من خلال وظيفة «إدارة القوائم». يتم تخزين البيانات المتعلقة بالصفحات، والتي يتم تحديدها عبر قسم «الصفحات»، على جانب الخادم ويتم عرضها دون ترميز الإخراج المناسب. ثم يتم عرض هذه الحمولة المخزنة بطريقة غير آمنة داخل واجهات الإدارة وقوائم التنقل الموجهة للجمهور، مما يؤدي إلى حدوث هجوم برمجة عبر المواقع (XSS) قائم على DOM المخزن. تشمل الوظائف المعرضة للخطر قسم «إدارة القوائم – الصفحات»، وإضافة الصفحات إلى قوائم التنقل، ومنطق تخزين القوائم وعرضها. يمكن للمهاجم إنشاء أو التحكم في صفحة تحتوي على حمولة JavaScript ضارة، وإضافة الصفحة إلى القائمة، وستُنفَّذ الحمولة كلما تم عرض القائمة. قد يؤدي ذلك إلى تصعيد الامتيازات، والاستيلاء الكامل على حساب المسؤول، والاختراق الكامل للتطبيق. نقطة نهاية واجهة برمجة التطبيقات (API) المعرضة للخطر هي /backend/menu/.

الإصدارات السابقة لـ 0.31.0.0: قم بالترقية إلى الإصدار 0.31.0.0 أو أحدث لمعالجة الثغرة الأمنية. تجنب أساليب معالجة DOM غير الآمنة مثل .html() وinnerHTML. قم بتطبيق ترميز كيانات HTML على جميع البيانات التي يتحكم فيها المستخدم قبل عرضها في المتصفح. قم بتنفيذ عملية تنقية المدخلات لضمان تنقية جميع المدخلات التي يقدمها المستخدم بشكل صحيح قبل معالجتها أو إخراجها. فرض استخدام رؤوس الأمان وسمات ملفات تعريف الارتباط، بما في ذلك سياسة أمان المحتوى (Content Security Policy)