CVE-2026-23695

إصدارات Cockpit CMS الأقدم من 2.14.1

توجد ثغرة في البرمجة النصية عبر المواقع (XSS) المخزنة في خيار «قالب العرض» (Display template) لنوع الحقل «Set». تتم معالجة سلسلة القالب بواسطة الدالة $interpolate() باستخدام new Function()، ويتم عرضها عبر توجيه v-html الخاص بـ Vue دون إجراء التنقية المناسبة. يمكن للمهاجم الذي يمتلك إذن content/:models/manage حقن جافا سكريبت تعسفي في قالب العرض، والذي يتم تنفيذه بعد ذلك في متصفح أي مستخدم يشاهد قائمة عناصر المجموعة.

قم بالتحديث إلى الإصدار الذي يحتوي على الالتزام 72a83fc.