PT-2026-51055
CVE-2026-49216
·
تاريخ النشر
2026-06-19
·
تاريخ التحديث
2026-07-21
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
symfony/ux-autocomplete من الإصدار 2.2.0 حتى 2.35.0
الوصف
يقوم وحدة التحكم Stimulus في
symfony/ux-autocomplete بعرض عناصر استجابة AJAX داخل الدالة createAutocompleteWithRemoteData() عن طريق إدراج حقل النص مباشرةً في القوالب النصية لـ HTML. ونظرًا لأن القيمة يتم تحليلها على أنها HTML بدلاً من نص، فإن أي علامات تضمين موجودة في استجابة AJAX يتم تنفيذها بواسطة المتصفح. وهذا يسمح للمهاجم بصياغة سلاسل نصية تؤدي إلى تشغيل هجمات البرمجة النصية عبر المواقع (XSS) المخزنة في متصفح المستخدمين الذين يفتحون أداة الإكمال التلقائي المدعومة ببيانات مقدمة من المستخدم.التوصيات
قم بتحديث symfony/ux-autocomplete إلى الإصدار 2.36.0 أو 3.1.0.
كإجراء تخفيفي مؤقت، قم بتقييد استخدام الدالة
createAutocompleteWithRemoteData() أو تأكد من أن البيانات التي تُرجعها استجابة AJAX يتم تنقيتها بدقة قبل معالجتها بواسطة أداة الإكمال التلقائي. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾