PT-2026-54000
CVE-2026-10585
·
تاريخ النشر
2026-06-30
·
تاريخ التحديث
2026-07-02
الوصف من
CVSS 4.0
6.3
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:P/VC:L/VI:L/VA:N/SC:H/SI:H/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات GitHub Enterprise Server الأقدم من 3.21
الوصف
توجد ثغرة في البرمجة النصية عبر المواقع (XSS) المخزنة، حيث يمكن لمهاجم تمت مصادقته تنفيذ تعليمات جافا سكريبت تعسفية في متصفح مستخدم آخر. ويحدث ذلك عن طريق إدخال حمولة مصممة خصيصًا في عنوان مناقشة ضمن فئة «الأسئلة والأجوبة». يفشل مكون
AnsweredQuestionStructuredDataComponent في تصفية عناوين المناقشات التي يتحكم فيها المستخدم قبل تضمينها في كتلة <script type="application/ld+json">، مما يسمح للعنوان بالخروج من سياق البرنامج النصي. ويتصاعد الهجوم بشكل أكبر من خلال الاستفادة من دعم استدعاء JSONP (JSON with Padding، وهي تقنية تسمح بطلبات البيانات عبر المجالات) في واجهة برمجة التطبيقات REST لتجاوز سياسة أمان المحتوى.التوصيات
التحديث إلى الإصدار 3.20.4
التحديث إلى الإصدار 3.19.8
التحديث إلى الإصدار 3.18.11
التحديث إلى الإصدار 3.17.17
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾