PT-2026-54861
CVE-2026-55793
·
تاريخ النشر
2026-07-01
·
تاريخ التحديث
2026-10-25
الوصف من
CVSS 4.0
5.9
متوسطةالمقاييسAV:N/AC:L/AT:P/PR:L/UI:P/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Craft CMS من 5.0.0-RC1 حتى 5.9.22
الوصف
توجد مشكلة في البرمجة النصية عبر المواقع المخزنة، حيث يمكن للمستخدم الذي يتمتع بأذونات لوحة التحكم على مستوى المؤلف تضمين حمولة JavaScript ضارة داخل عنوان الإدخال. ويتم التنفيذ عندما يقوم مسؤول أو مستخدم يتمتع بأذونات
saveEntries لنفس قسم الهيكل بإجراء عملية سحب على إدخال آخر أسفل الإدخال المتأثر في عرض الجدول. يحدث هذا لأن الخادم يقوم بتحويل العنوان إلى data-title، والذي يقوم المتصفح بفك تشفيره ويقرأه jQuery عبر .data(’title‘)، ثم يربطه لاحقًا في سلسلة HTML جديدة دون إجراء التحويل المناسب للسمات. يتطلب الاستغلال الناجح أن يكون لدى المهاجم دور «مؤلف» على الأقل، وأن يقوم الضحية بإجراء عملية سحب محددة أثناء امتلاكه امتيازات جلسة عمل مرتفعة.التوصيات
التحديث إلى الإصدار 5.9.23.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾