PT-2026-63991 · Dompurify · Dompurify
CVSS v3.1
6.1
متوسطة
| المتجه | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات DOMPurify الأقدم من 3.4.0
الوصف
تستمر شروط الدالة المقدمة عبر
ADD ATTR أو ADD TAGS إلى دالة DOMPurify.sanitize() في الحالة الداخلية EXTRA ELEMENT HANDLING عبر عدة استدعاءات لنفس المثيل. إذا قدمت دعوة لاحقة لنفس المثيل ADD ATTR أو ADD TAGS كمصفوفة بدلاً من دالة، فإن معالج الدالة السابق لا يتم مسحه أو الكتابة فوقه. وهذا يسمح لمعالج الوظيفة بمواصلة الموافقة على السمات أو العلامات التي يتحكم فيها المهاجم، مما قد يؤدي إلى تجاوز FORBID TAGS والسماح لسمات معالجات الأحداث الخطيرة بالبقاء بعد عملية التطهير، وهو ما يؤدي إلى البرمجة النصية عبر المواقع (XSS)، وهي تقنية يتم من خلالها حقن نصوص برمجية ضارة في مواقع الويب الموثوقة.التوصيات
قم بالتحديث إلى الإصدار 3.4.0.
استغلال
إصلاح
XSS
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Dompurify