PT-2026-64230
CVE-2026-6454
·
تاريخ النشر
2026-07-23
·
تاريخ التحديث
2026-07-24
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Firelight Lightbox الأقدم من 2.3.21
الوصف
تحدث ثغرة «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة في DOM بسبب عدم كفاية عملية تنقية قيمة السمة
href ضمن دالة الاستدعاء البرمجية JavaScript الخاصة بـ FancyBox V2 PDF beforeLoad، والتي يتم إنشاؤها في الملف inc/fancybox-2.php. يتم ربط المتغير this.href مباشرةً بسلسلة HTML دون استخدام أحرف الهروب، مما يسمح لـ href المخزنة التي تحتوي على علامات اقتباس مزدوجة مشفرة بالكيانات بالخروج من سمة البيانات وحقن معالجات أحداث عشوائية في نموذج كائن المستند (DOM). يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المساهم أو أعلى استخدام هذا الثغرة لحقن نصوص برمجية ويب عشوائية في الصفحات التي يتم تنفيذها عندما ينقر المستخدم على رابط PDF ضار.التوصيات
قم بالتحديث إلى إصدار أحدث من 2.3.20.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾