PT-2026-60073
CVE-2026-45572
·
تاريخ النشر
2026-07-13
·
تاريخ التحديث
2026-08-07
الوصف من
CVSS 3.1
4.8
متوسطةالمقاييسAV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Decidim السابقة للإصدار 0.30.9
إصدارات Decidim من 0.31.0 إلى 0.31.4
إصدار Decidim 0.32.0.rc1
الوصف
يمكن للمسؤول الذي يتمتع بامتيازات تحرير الصفحة الرئيسية تخزين كود HTML وJavaScript تعسفي داخل كتلة محتوى HTML. تقوم الدالة
Decidim::ContentBlocks::HtmlCell#html content بعرض هذا المحتوى باستخدام html safe دون إجراء التنقية المناسبة أو التهرب من الإخراج، مما يسمح بتنفيذ البرنامج النصي المخزن في متصفحات الزوار الذين يشاهدون الصفحة المتأثرة. هذه مشكلة برمجة عبر المواقع (XSS) مخزنة، حيث يتم تخزين برنامج نصي ضار بشكل دائم على الخادم ويتم تقديمه للمستخدمين الآخرين.التوصيات
التحديث إلى الإصدار 0.30.9.
التحديث إلى الإصدار 0.31.5.
التحديث إلى الإصدار 0.32.0.rc2.
تجنب منح أذونات إدارية للمستخدمين غير الموثوق بهم.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾