CVE-2026-34568

إصدارات CI4MS الأقدم من 0.31.0.0

لا يقوم التطبيق بتنقية المدخلات التي يتحكم فيها المستخدم بشكل صحيح عند إنشاء منشورات المدونة أو تحريرها. يمكن للمهاجم حقن حمولة JavaScript ضارة في محتوى منشور المدونة، والتي يتم تخزينها بعد ذلك على جانب الخادم. يتم عرض هذه الحمولة المخزنة لاحقًا بشكل غير آمن في عدة طرق عرض للتطبيق دون ترميز الإخراج المناسب، مما يؤدي إلى حدوث هجوم البرمجة النصية عبر المواقع (XSS) المخزنة. تشمل الوظائف المتأثرة منطق إنشاء منشورات المدونة وتحريرها وتخزينها واسترجاعها. يمكن للمهاجمين استغلال هذه الثغرة عن طريق إدراج حمولة XSS في محتوى منشور المدونة، والتي يتم تنفيذها تلقائيًا عند عرض المنشور. تشمل نقاط نهاية واجهة برمجة التطبيقات (API) المتأثرة /backend/blogs/create و/backend/blogs/ و/blog/{id}. المعلمة المعرضة للخطر هي محتوى منشور المدونة نفسه.

تطبيق ترميز المخرجات على جميع البيانات التي يتحكم فيها المستخدم قبل عرضها في المتصفح. تنفيذ عملية تنقية المدخلات لتنقية جميع المدخلات التي يقدمها المستخدم بشكل صحيح قبل معالجتها أو عرضها. فرض استخدام رؤوس الأمان وسمات ملفات تعريف الارتباط، بما في ذلك سياسة أمان المحتوى (CSP)، وعلامة HttpOnly، وسمة SameSite، وعلامة Secure.