PT-2026-37267
CVE-2026-42338
·
تاريخ النشر
2026-05-05
·
تاريخ التحديث
2026-10-15
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات ip-address الأقدم من 10.1.1
الوصف
يفشل البرنامج في تطبيق ترميز HTML على المحتوى الذي يتحكم فيه المهاجم قبل تضمينه في سلاسل HTML. يحدث هذا في الدالتين
Address6.group() وAddress6.link()، وكذلك داخل الخاصية AddressError.parseMessage التي يصدرها منشئ Address6 عند معالجة المدخلات غير الصالحة. على وجه التحديد، تسمح الدالة Address6.group() بحقن معرف المنطقة، وتكون الدالة Address6.link() عرضة لحقن قيم السمات عبر المتغيرين prefix وclassName. بالإضافة إلى ذلك، يمكن أن يتضمن مسار الخطأ في مُنشئ Address6 لعناوين IPv4 التي تبدأ بصفر محتوى غير مُعالج في إخراج parseMessage. التطبيقات التي تمرر مدخلات غير موثوق بها إلى Address6 وتعرض إخراج هذه الطرق أو رسالة الخطأ بتنسيق HTML (على سبيل المثال، باستخدام innerHTML) تكون عرضة لـ «البرمجة النصية عبر المواقع» (XSS)، وهي تقنية يتم من خلالها حقن نصوص برمجية ضارة في مواقع ويب موثوق بها في الظاهر.التوصيات
قم بالتحديث إلى الإصدار 10.1.1.
كحل مؤقت، تجنب تمرير مدخلات غير موثوق بها إلى مُنشئ
Address6.كحل مؤقت، تعامل مع مخرجات
Address6.group() وAddress6.link() وv6.helpers.spanAll() وحقل parseMessage في AddressError كنص عادي بدلاً من HTML.كحل مؤقت، تحقق من صحة المدخلات باستخدام
Address6.isValid() وارفض أي مدخلات تحتوي على معرف منطقة (الحرف %) أو أحرف خارج النطاق `[0-9 وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾