PT-2026-37270
CVE-2026-42554
·
تاريخ النشر
2026-05-05
·
تاريخ التحديث
2026-08-10
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Fiber الأقدم من 2.52.12
إصدارات Fiber الأقدم من 3.1.0
الوصف
توجد مشكلة في البرمجة النصية عبر المواقع (Cross-Site Scripting) في إطار عمل الويب Go Fiber. يمكن لمهاجم عن بُعد حقن كود HTML أو JavaScript تعسفي عن طريق توفير رأس
Accept: text/html في طلب حيث يقوم المعالج بتمرير البيانات التي يتحكم فيها المهاجم إلى ميزة AutoFormat(). في حين أن التنسيقات الأخرى مثل JSON وXML وMsgPack وCBOR تستخدم مشفرات تعمل على تحييد علامات الترميز، فإن فرع HTML في دالة AutoFormat() (ودالة Format() في الإصدار 2) يربط البيانات مباشرةً بعلامات HTML دون تشفير الإخراج. يحدث هذا لأن إطار العمل يختار تنسيق الاستجابة بناءً على رأس Accept الذي يتحكم فيه المهاجم، مما يسمح للمهاجم بفرض تنفيذ فرع HTML غير المُهرب.التوصيات
قم بالتحديث إلى الإصدار 2.52.12 أو أحدث.
قم بالتحديث إلى الإصدار 3.1.0 أو أحدث.
كحل مؤقت، تجنب استخدام دالة
AutoFormat() أو دالة Format() عند معالجة البيانات التي يمكن أن يتأثر بها المستخدمون.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾