PT-2026-57851
CVE-2026-58228
·
تاريخ النشر
2026-07-13
·
تاريخ التحديث
2026-07-13
الوصف من
CVSS 4.0
5.1
متوسطةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:A/VC:L/VI:L/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات phoenix live view من 1.2.2 إلى 1.2.6
الوصف
توجد مشكلة في البرمجة النصية عبر المواقع في phoenix live view بسبب التحقق غير الصحيح من صحة مخطط عناوين URL. تستخدم الدالتان
valid destination!/2 وvalid live navigation destination!/2 أداة مساعدة داخلية uri scheme/1 تفشل في اكتشاف المخططات إذا كانت المدخلات تبدأ بمسافة أو بحرف تحكم ASCII. ونظرًا لأن المتصفحات القياسية تزيل هذه الأحرف الافتتاحية قبل التحليل، يمكن للمهاجم تقديم حمولة مثل ” javascript:alert(1)“ التي تتجاوز عملية التحقق من الصحة ويتم التعامل معها على أنها مسار نسبي آمن. وعند عرضها عبر <.link href={...}>، يقوم المتصفح بتنفيذ البرنامج النصي في جلسة عمل الضحية. ويؤثر هذا على التطبيقات التي تعرض عناوين URL التي يقدمها المستخدم، مثل أهداف إعادة التوجيه أو روابط الملفات الشخصية.التوصيات
قم بتحديث phoenix live view إلى الإصدار 1.2.7 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾