PT-2026-48683
CVE-2026-48007
·
تاريخ النشر
2026-06-11
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 4.0
8.6
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Element Call من 0.5.17 إلى 0.19.3
الوصف
يقوم Element Call بإرسال بيانات التحليلات إلى خادم PostHog عند تهيئته عبر مفتاح
posthog في ملف config.json أو من خلال معلمات URL posthogApiHost وposthogApiKey. تحتوي الحقول $initial person info و$session entry url و$current url على عنوان URL الكامل للصفحة التي تمت زيارتها، بما في ذلك الجزء (fragment). في حالات تطبيقات الصفحة الواحدة (SPA) المستقلة، قد يؤدي ذلك إلى إرسال عناوين URL الكاملة للمكالمات، بما في ذلك كلمات مرور التشفير، إلى خادم PostHog. وهذا قد يعرض سرية المكالمات للخطر إذا كان لدى جهة ما إمكانية الوصول إلى كل من بيانات التحليلات وتدفقات الوسائط المشفرة. وعلى الرغم من أن الحزمة المدمجة تتأثر أيضًا، إلا أن ذلك لا يؤثر على تطبيقات مثل Element Web وElement Desktop وElement X iOS وElement X Android لأنها توزع مفاتيح التشفير عبر Matrix بدلاً من ترميز كلمات المرور في عنوان URL.التوصيات
التحديث إلى الإصدار 0.19.4.
يمكن للمستخدمين إلغاء الاشتراك في التحليلات من علامة التبويب «التعليقات» (Feedback) في الإعدادات وإنشاء روابط جديدة للمكالمات المستقبلية.
يمكن للمسؤولين الذين يستضيفون تطبيقات مستقلة تعطيل تحليلات PostHog عن طريق إزالة المفتاح
posthog من ملف config.json. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾