PT-2026-50182
CVE-2026-54326
·
تاريخ النشر
2026-06-16
·
تاريخ التحديث
2026-06-25
الوصف من
CVSS 3.1
2.5
منخفضةالمقاييسAV:L/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
@mariozechner/pi-coding-agent من الإصدار 0.27.5 حتى 0.73.1
@earendil-works/pi-coding-agent من الإصدار 0.74.0 حتى 0.78.0
الوصف
تقوم ميزة تصدير Pi HTML بتحويل نص Markdown الخاص بالجلسة إلى ملف HTML ثابت، لكنها تفشل في رفض أنماط عناوين URL للروابط والصور غير الآمنة في Markdown بشكل متسق. في الإصدارات التي تطبق تصفية الأنماط، يمكن لأحرف التحكم C0 (الأحرف غير القابلة للطباعة في نطاق ASCII من 0 إلى 31) الموجودة في نمط عنوان URL تجاوز الفحوصات الأمنية لأن متصفحات الويب تقوم بتوحيد هذه الأحرف قبل التنقل. قد يؤدي ذلك إلى حدوث هجمات البرمجة النصية عبر المواقع (XSS)، حيث يمكن للمهاجم تنفيذ نصوص برمجية في المستند المُصدَّر إذا نجح في إدخال Markdown غير آمن في الجلسة، مثل من خلال حقن المطالبة. ويتمثل الخطر الرئيسي في الكشف المحدود عن البيانات المضمنة في ملف الجلسة المُصدَّر.
التوصيات
تحديث @mariozechner/pi-coding-agent إلى @earendil-works/pi-coding-agent الإصدار 0.78.1 أو أحدث.
تحديث @earendil-works/pi-coding-agent إلى الإصدار 0.78.1 أو أحدث.
إعادة إنشاء ملفات HTML المشتركة بعد الترقية إذا كانت الجلسات الأساسية تحتوي على محتوى غير موثوق به.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾