PT-2026-38267
CVE-2026-42458
·
تاريخ النشر
2026-05-06
·
تاريخ التحديث
2026-05-18
الوصف من
CVSS 4.0
5.3
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Magento ذات الدعم طويل الأمد (LTS) السابقة للإصدار 20.18.0
الوصف
توجد ثغرة في البرمجة النصية عبر المواقع (XSS) المنعكسة داخل لوحة الإدارة تحت «النظام» -> «الاستيراد/التصدير» -> «تدفق البيانات - الملفات الشخصية». تحدث هذه الثغرة عندما يتم عكس اسم الملف في علامات HTML دون تنقية مناسبة. يمكن للمهاجم استغلال هذه الثغرة عن طريق التلاعب باسم الملف في الطلب الموجه إلى نقطة النهاية ”/index.php/admin/system convert gui/run/“ عبر المتغير
files، مما يسمح بتنفيذ تعليمات جافا سكريبت تعسفية في سياق جلسة عمل المستخدم.التوصيات
قم بالتحديث إلى الإصدار 20.18.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾