PT-2026-67450
CVE-2026-69153
·
تاريخ النشر
2026-08-03
·
تاريخ التحديث
2026-10-20
الوصف من
CVSS 4.0
6.3
متوسطةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات PostCSS السابقة للإصدار 8.5.19
الوصف
يقوم PostCSS بتحويل ملفات CSS إلى شجرة صياغة مجردة (Abstract Syntax Tree) للسماح بالتحليل والتعديل. وعندما لا يتم تعيين الخيار
from، تفشل الدالة PreviousMap.loadFile() في التحقق بشكل صحيح من صحة قيمة sourceMappingURL الموفرة في تعليق CSS. يمكن للمهاجم توفير مسار مطلق أو مسار لاجتياز الدلائل لإجبار التطبيق على قراءة ملف خريطة المصدر غير المقصود. إذا كان الملف المستهدف ينتهي بامتداد .map ويحتوي على JSON صالح، فقد يتم الكشف عن sources (مسارات نظام الملفات المحلي) وsourcesContent (كود المصدر) في خريطة المصدر التي تم إنشاؤها. تؤثر هذه المشكلة على البيئات التي يعالج فيها PostCSS ملفات CSS التي يتلاعب بها المهاجم دون تحديد خيار from ويكشف عن الخريطة الناتجة.التوصيات
قم بتحديث PostCSS إلى الإصدار 8.5.19 أو أحدث.
كإجراء تخفيفي مؤقت، تأكد من تعيين خيار
from دائمًا عند معالجة CSS لتمكين آلية الحماية الخاصة بالتحقق من صحة المسار. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾