PT-2026-49739
CVE-2026-54298
·
تاريخ النشر
2026-06-16
·
تاريخ التحديث
2026-07-27
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Astro الأقدم من 6.4.6
الوصف
تقوم الدالة
spreadAttributes في مسار العرض من جانب الخادم بالتكرار عبر مفاتيح الكائنات وتمريرها إلى الدالة addAttribute()، التي تقوم بإدراج المفتاح في إخراج HTML دون استخدام أحرف الهروب. عندما يستخدم المطور صيغة التوزيع {...props} على عنصر HTML وتكون مفاتيح الكائن مستمدة من مصادر غير موثوقة مثل واجهات برمجة التطبيقات (APIs) أو أنظمة إدارة المحتوى (CMS) أو معلمات عناوين URL، يمكن للمهاجم حقن سمات HTML تعسفية. ويشمل ذلك معالجات الأحداث مثل onmousemove وonclick، أو الخروج من سياق السمة لحقن عناصر جديدة، مما يؤدي إلى برمجة عبر المواقع (XSS).التوصيات
قم بالتحديث إلى الإصدار 6.4.6.
كحل مؤقت، تجنب استخدام صيغة الانتشار
{...props} على عناصر HTML عندما تأتي مفاتيح الكائن من مصادر غير موثوق بها.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾