PT-2026-67730
CVE-2026-10032
·
تاريخ النشر
2026-08-04
·
تاريخ التحديث
2026-10-02
الوصف من
CVSS 3.1
9.3
حرجةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
@a2ui/web core (الإصدارات المتأثرة غير محددة)
الوصف
تفشل الدالة
openUrl() في التحقق من صحة نظام URI قبل تمرير عنوان URL إلى window.open(). يمكن لمهاجم خبيث تزويد عنوان URI من نوع javascript: عبر الحجة url الخاصة بإجراء functionCall لمكون Button. وهذا يسمح بتنفيذ تعليمات جافا سكريبت تعسفية داخل مصدر المتصفح لتطبيق الضحية عند النقر على الزر، مما يؤدي إلى حدوث هجوم «التنفيذ عبر المواقع» (XSS) المخزن أو المنعكس، وهو ثغرة أمنية يتم من خلالها حقن نصوص برمجية خبيثة في مواقع ويب موثوق بها في الأحوال العادية. تحدث هذه المشكلة مع الإعدادات الافتراضية حيث يتم تمكين «الكتالوج الأساسي» (Basic Catalog) بشكل افتراضي.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
كحل مؤقت، قم بتقييد استخدام الوسيطة
url ضمن الإجراء functionCall لمكونات الزر لمنع حقن عناوين URI التي تبدأ بـ javascript:. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾