PT-2026-39328
CVE-2026-44458
·
تاريخ النشر
2026-05-09
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Hono الأقدم من 4.12.18
الوصف
يقوم مُعالج JSX بتحويل قيم كائن السمة
style في HTML، ولكنه لا يفعل ذلك في CSS. وعندما يتم إدراج مدخلات غير موثوق بها في كائن style في JSX وعرضها من جانب الخادم، يمكن استخدام الأحرف التي تعمل كحدود لإعلانات CSS — مثل ; وعلامات التعليقات والسلاسل الموضوعة بين علامتي اقتباس ومحددات الكتل — لحقن إعلانات CSS إضافية في السمة style المعروضة. وهذا يسمح للمهاجم بالتحكم في قيمة أو اسم خاصية كائن style، مما قد يؤدي إلى التلاعب المرئي بالصفحة (بما في ذلك تراكبات تغطي نافذة العرض بالكامل لأغراض التصيد الاحتيالي)، وإرسال طلبات خارجية إلى مضيفات يسيطر عليها المهاجم عبر مراجع موارد CSS مثل url(...)، واختطاف إمكانيات واجهة المستخدم من خلال تغييرات في التخطيط أو الموضع أو الرؤية. يقتصر التأثير على CSS ولا يسمح بتنفيذ JavaScript أو اختراق سمات HTML.التوصيات
التحديث إلى الإصدار 4.12.18.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾