CVE-2026-44644

إصدارات LiquidJS السابقة للإصدار 10.26.0

يسمح عيب في منطق مرشح strip html بحدوث هجمات البرمجة النصية عبر المواقع (XSS). تم تصميم المرشح لإزالة علامات HTML من السلاسل ليقوم بدور أداة التنقية؛ ومع ذلك، فإنه يستخدم تعبيرًا عاديًا حيث يفشل الفرع الشامل (<.*?>) في مطابقة علامات نهاية السطر. ونتيجة لذلك، يتم تمرير أي علامة HTML تحتوي على حرف سطر جديد ( ) أو حرف إرجاع العربة (r) دون تعديل. ونظرًا لأن متصفحات الويب تعامل هذه الأحرف على أنها مسافات بيضاء داخل العلامة، يمكن للمهاجم تجاوز عملية التنقية عن طريق إدراج سطر جديد في العلامة (على سبيل المثال، <img src=x onerror=alert(1)>)، مما يؤدي إلى تنفيذ جافا سكريبت تعسفي. يحدث هذا في التطبيقات التي تعرض سلاسل نصية يسيطر عليها المهاجم باستخدام مرشح strip html ولا تقوم بتحويل الإخراج إلى HTML بشكل منفصل، وهو السلوك الافتراضي عندما لا يتم تعيين المتغير outputEscape.

قم بالتحديث إلى الإصدار 10.26.0 أو أحدث.

كحل مؤقت، تجنب استخدام مرشح strip html لتنقية المحتوى غير الموثوق به، واستخدم بدلاً من ذلك مرشح escape لتنقية المخرجات من علامات HTML.