PT-2026-50646
CVE-2026-55746
·
تاريخ النشر
2026-06-18
·
تاريخ التحديث
2026-08-10
الوصف من
CVSS 3.1
7.6
عاليةالمقاييسAV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Cotonti الإصدار 1.0.0
الوصف
تسمح وحدة «تخزين الملفات الشخصية» (PFS) للمستخدمين المصادق عليهم بتخزين كود HTML أو JavaScript ضمن عنوان مجلد. ويحدث ذلك لأن المتغير
pff title يتم استيراده باستخدام مرشح «TXT» الذي يفشل في إزالة أو ترميز كود HTML. في الملف modules/pfs/inc/pfs.main.php، يتم تعيين العنوان إلى متغير القالب PFF ROW TITLE دون استخدام htmlspecialchars()، ويقوم الملف modules/pfs/tpl/pfs.tpl بإخراج {PFF ROW TITLE} دون إزالة الأحرف الخطرة. ونتيجة لذلك، يتم تنفيذ البرنامج النصي المُحقن في متصفح أي مستخدم يشاهد قائمة المجلدات، بما في ذلك المستخدمون الذين يصلون إلى المجلدات العامة. هذه مشكلة «التنفيذ النصي عبر المواقع» (XSS) المخزنة، حيث يتم تخزين البرامج النصية الخبيثة بشكل دائم على الخادم وتقديمها للمستخدمين الآخرين.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾