PT-2026-41152
CVE-2026-44990
·
تاريخ النشر
2026-05-14
·
تاريخ التحديث
2026-10-09
الوصف من
CVSS 3.1
9.3
حرجةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
sanitize-html الإصدار 2.17.3
الوصف
يوجد ثغرة في أداة التنقية في التكوين الافتراضي، حيث يفشل المسار
disallowedTagsMode: ’discard‘ في معالجة عنصر xmp بشكل صحيح. ونظرًا لأن xmp غير مدرج في قائمة nonTextTags، فإن محتوياته لا يتم تجاهلها. بدلاً من ذلك، يقوم معالج ontext بإلحاق المحتوى النصي لعلامات xmp مباشرةً إلى المخرجات دون إجراء عملية الهروب. ونظرًا لأن htmlparser2 يعامل xmp كعنصر نص خام، يتم تحليل أي ترميز بداخله كنص، لكنه يتحول إلى HTML أو JavaScript نشط بمجرد إلحاقه بالمخرجات التي تمت معالجتها. وهذا يسمح لمهاجم عن بُعد بتهريب حمولات ضارة، مثل علامات <script> أو معالجات الأحداث، مما يؤدي إلى حدوث هجوم البرمجة النصية عبر المواقع (XSS) المخزنة عند عرض الناتج في المتصفح.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾