PT-2026-29633
CVE-2026-34569
·
تاريخ النشر
2026-04-01
·
تاريخ التحديث
2026-04-03
الوصف من
CVSS 3.1
9.9
حرجةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات CI4MS الأقدم من 0.31.0.0
الوصف
لا يقوم التطبيق بتنقية المدخلات التي يتحكم فيها المستخدم بشكل صحيح عند إنشاء فئات المدونة أو تعديلها. يمكن للمهاجم حقن حمولة JavaScript ضارة في حقل عنوان الفئة، والتي يتم تخزينها بعد ذلك على جانب الخادم. يتم عرض هذه الحمولة المخزنة لاحقًا بشكل غير آمن عبر صفحات فئات المدونة المتاحة للجمهور، وواجهات الإدارة، وعروض منشورات المدونة دون ترميز الإخراج المناسب، مما يؤدي إلى حدوث هجوم البرمجة النصية عبر المواقع (XSS) المخزنة. تشمل الوظائف المتأثرة إنشاء فئات المدونة وتحريرها، بالإضافة إلى منطق التخزين والاسترجاع الخاص بفئات المدونة. يتضمن الهجوم إنشاء أو تحرير عنوان فئة مدونة يحتوي على حمولة XSS، والتي يتم تنفيذها تلقائيًا عند عرض عنوان الفئة. نقاط نهاية واجهة برمجة التطبيقات (API) المتأثرة هي
/backend/blogs/categories/ و/blog/{id}.التوصيات
قم بالتحديث إلى الإصدار 0.31.0.0 أو أحدث لمعالجة هذه المشكلة. تجنب أساليب معالجة DOM غير الآمنة مثل
.html() وinnerHTML. قم بتنفيذ ترميز كيانات HTML على جميع البيانات التي يتحكم فيها المستخدم قبل عرضها في المتصفح. قم بتنفيذ تنقية المدخلات لضمان تنقية جميع المدخلات التي يقدمها المستخدم بشكل صحيح قبل معالجتها أو إخراجها.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾