PT-2026-40911
CVE-2026-43644
·
تاريخ النشر
2026-05-14
·
تاريخ التحديث
2026-10-08
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات podinfo الأقدم من 6.11.3
الوصف
توجد ثغرة في البرمجة النصية عبر المواقع (XSS) المنعكسة في نقاط النهاية ’/echo‘ و ’/api/echo‘. تقوم الدالة
echoHandler بكتابة محتوى نص الطلب مباشرةً في الاستجابة دون تعيين رؤوس ’Content-Type‘ أو ’X-Content-Type-Options‘ صريحة. وهذا يسمح للمهاجمين باستخدام صفحات HTML عبر الأصول (cross-origin) تحتوي على نماذج يتم إرسالها تلقائيًا وتضم حمولات نصوص برمجية في نص الطلب. وبسبب آلية الكشف عن نوع المحتوى في لغة Go، يتم تقديم هذه الاستجابات بصيغة ’text/html‘، مما يتيح تنفيذ النص البرمجي ضمن سياق أصل podinfo عندما يزور الضحية الصفحة الخبيثة.التوصيات
قم بالتحديث إلى إصدار أحدث من 6.11.2.
كحل مؤقت، قم بتقييد الوصول إلى نقاط النهاية ’/echo‘ و ’/api/echo‘ لتقليل مخاطر الاستغلال إلى أدنى حد.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾