PT-2026-65916
CVE-2026-67595
·
تاريخ النشر
2026-07-29
·
تاريخ التحديث
2026-07-29
الوصف من
CVSS 4.0
9.2
حرجةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات VaahCMS من 2.0.0 إلى 2.3.4
الوصف
تم تضمين حمولة جافا سكريبت خبيثة ومشوشة في قالب Blade المستخدم لعرض رسائل البريد الإلكتروني الخاصة برموز OTP الأمنية. وهذا يتيح للمهاجمين عن بُعد تنفيذ تعليمات برمجية غير مصرح بها في المتصفحات التي تعرض قالب البريد الإلكتروني مع تمكين جافا سكريبت. تقوم الحمولة بإنشاء اتصال WebSocket بنقطة نهاية للتحكم والأوامر مبرمجة بشكل ثابت، وتستخدم MutationObserver لتثبيت برنامج تسجيل مفاتيح لحقل كلمة المرور لالتقاط المدخلات المضافة ديناميكيًا، وتستخرج محتوى DOM لـ WhatsApp Web، وتقبل الأوامر عن بُعد لإعادة توجيه الصفحة المعروضة أو الكتابة فوقها.
التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾