PT-2026-37278
CVE-2026-42612
·
تاريخ النشر
2026-05-05
·
تاريخ التحديث
2026-05-27
الوصف من
CVSS 3.1
8.5
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Grav الأقدم من 2.0.0-beta.2
الوصف
تسمح ثغرة في البرمجة النصية عبر المواقع (XSS) المخزنة لحسابات مستوى الناشر بتنفيذ تعليمات جافا سكريبت تعسفية. تنشأ المشكلة عن تجاوز القائمة السوداء في دالة
detectXss()، التي تفشل في التعرف بشكل صحيح على سمات أحداث HTML (مثل أحداث on*) عندما يتم إنشاؤها بدون علامات اقتباس. وهذا يسمح للمهاجم بتجاوز المرشح وتنفيذ نصوص برمجية ضارة في متصفح أي مستخدم، بما في ذلك المسؤولون، الذين يشاهدون المحتوى المخترق، مما قد يؤدي إلى اختطاف الجلسة أو إجراءات غير مصرح بها.التوصيات
قم بالتحديث إلى الإصدار 2.0.0-beta.2.
كحل مؤقت، قم بتقييد أذونات الحسابات على مستوى الناشر لتقليل مخاطر إدخال محتوى ضار.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾