PT-2026-38404 · Rubygems · Css Parser
CVSS v3.1
5.8
متوسطة
| المتجه | AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات css parser الأقدم من 1.22.0
إصدارات css parser الأقدم من 2.1.0
الوصف
يفشل البرنامج في التحقق من صحة اتصالات HTTPS عند تحميل أوراق الأنماط، مما يسمح لمهاجم من نوع ”الرجل في الوسط“ (MITM) بإدخال أو تعديل محتوى CSS. يحدث هذا لأن الاتصال يتم إنشاؤه باستخدام
OpenSSL::SSL::VERIFY NONE، مما يؤدي إلى قبول النظام لأي شهادة HTTPS، بما في ذلك الشهادات غير الموثوق بها، دون التحقق من صحتها. تقع المشكلة في الإعداد http.verify mode داخل الملف lib/css parser/parser.rb.التوصيات
التحديث إلى الإصدار 1.22.0.
التحديث إلى الإصدار 2.1.0.
استغلال
إصلاح
Improper Certificate Validation
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Css Parser