CVE-2026-34989

يتعذر تحديد اسم المنتج. (لم يتم تحديد الإصدارات المتأثرة)

لا يقوم التطبيق بتنقية المدخلات التي يتحكم فيها المستخدم بشكل صحيح عند تحديث أسماء الملفات الشخصية، مما يسمح للمهاجم بحقن حمولة JavaScript ضارة. يتم تخزين هذه الحمولة على جانب الخادم ويتم تنفيذها عند عرض الاسم في عدة طرق عرض للتطبيق، مما يؤدي إلى حدوث هجوم البرمجة النصية عبر المواقع (XSS) المخزنة. تؤثر هذه المشكلة على منطق تخزين واسترجاع ملفات تعريف المستخدمين، بالإضافة إلى نقاط النهاية مثل /backend/users/profile/ و/backend/users/. يمكن أن تؤدي هذه الثغرة الأمنية إلى تصعيد الامتيازات والاستيلاء على الحساب، خاصةً عند عرضها من قبل المسؤولين وعلى الصفحات العامة التي تعرض ملفات تعريف المستخدمين. يتضمن سيناريو الهجوم قيام المهاجم بتحديث اسم ملفه الشخصي بحمولة XSS، والتي يتم تنفيذها بعد ذلك في متصفحات المستخدمين الذين يشاهدون الملف الشخصي، مما قد يؤدي إلى تصعيد الامتيازات الإدارية والاستيلاء الكامل على حساب المسؤول.