PT-2026-29630
CVE-2026-34565
·
تاريخ النشر
2026-04-01
·
تاريخ التحديث
2026-04-02
الوصف من
CVSS 3.1
9.1
حرجةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات CI4MS الأقدم من 0.31.0.0
الوصف
لا يقوم التطبيق بتنقية المدخلات التي يتحكم فيها المستخدم بشكل صحيح عند إضافة منشورات إلى قوائم التنقل من خلال وظيفة إدارة القوائم. يتم تخزين البيانات المتعلقة بالمنشورات التي يتم تحديدها عبر قسم ”المنشورات“ على جانب الخادم وعرضها دون ترميز الإخراج المناسب. يتم عرض هذه القيم المخزنة بشكل غير آمن داخل لوحات التحكم الإدارية وقوائم التنقل الموجهة للجمهور، مما يؤدي إلى وجود ثغرة أمنية قائمة على DOM (نموذج الوثيقة) تسمح بتنفيذ البرمجة النصية عبر المواقع (XSS). تتضمن الوظيفة المعرضة للخطر إضافة منشورات إلى قوائم التنقل عبر قسم ”المنشورات“ في إدارة القوائم. يمكن للمهاجم إنشاء أو التحكم في منشور يحتوي على حمولة JavaScript ضارة، وإضافته إلى القائمة، وستُنفَّذ الحمولة كلما تم عرض القائمة. وقد يؤدي ذلك إلى تصعيد الامتيازات، والاستيلاء الكامل على حساب المسؤول، والاختراق الكامل للتطبيق. نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة هي
/backend/menu/. تتضمن الثغرة عرضًا غير آمن لمدخلات المنشورات في إدارة القوائم، وتحديدًا عند إضافة المنشورات إلى قوائم التنقل.التوصيات
قبل الإصدار 0.31.0.0، تجنب أساليب معالجة DOM غير الآمنة مثل
.html() وinnerHTML. قم بتطبيق ترميز كيانات HTML على جميع البيانات التي يتحكم فيها المستخدم قبل عرضها في المتصفح. قم بتنفيذ عملية تنقية المدخلات لضمان تنقية جميع المدخلات التي يقدمها المستخدم بشكل صحيح قبل معالجتها أو إخراجها. فرض استخدام رؤوس الأمان وسمات ملفات تعريف الارتباط، بما في ذلك Conقابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾