PT-2026-36657
تاريخ النشر
2026-04-22
·
تاريخ التحديث
2026-04-22
الوصف من
CVSS 3.1
4.6
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
cosmos (لم يتم تحديد الإصدارات المتأثرة)
الوصف
تستخدم واجهة المستخدم الخاصة بـ «Command Sender» دالة
eval() غير آمنة عند معالجة معلمات الأوامر التي تشبه المصفوفات. وهذا يسمح بتنفيذ حمولة مقدمة من المستخدم داخل المتصفح أثناء عملية إرسال الأوامر، مما يؤدي إلى خطر XSS ذاتي. يمكن للمهاجم تشغيل البرنامج النصي في جلسة عمل الضحية إذا تمكن من التأثير على إدخال معلمة المصفوفة، مثلًا من خلال التصيد الاحتيالي. قد يتيح الاستغلال الناجح للمهاجم قراءة أو تعديل البيانات ضمن سياق المتصفح المصادق عليه، بما في ذلك رموز الجلسة المخزنة في التخزين المحلي. تحدث المشكلة في دالة convertToValue().التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾