PT-2026-33216
CVE-2026-40479
·
تاريخ النشر
2026-04-15
·
تاريخ التحديث
2026-04-27
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Kimai (لم يتم تحديد الإصدارات المتأثرة)
الوصف
تسمح تصحيح أمان غير مكتمل في الدالة
escapeForHtml() من جانب العميل داخل ملف KimaiEscape.js بحدوث هجوم «التنفيذ البرمجي عبر المواقع المخزّن» (XSS). تفشل الدالة في إخفاء علامات الاقتباس المزدوجة (”) وعلامات الاقتباس المفردة (’)، وهي ضرورية لمنع الحقن في سياقات سمات HTML. عندما يتم وضع بيانات يتحكم فيها المستخدم، مثل الاسم المستعار للملف الشخصي، في سمة HTML مثل 'title=“ DISPLAY "‘ ويتم عرضها باستخدام innerHTML، يمكن للمهاجم تنفيذ حقن سمات HTML. قد يؤدي ذلك إلى تصعيد الامتيازات، حيث يقوم مستخدم يتمتع بأذونات ROLE USER بتنفيذ نصوص برمجية في جلسة متصفح مستخدم يتمتع بأذونات ROLE ADMIN أو ROLE SUPER ADMIN.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾