PT-2026-68806
CVE-2026-71438
·
تاريخ النشر
2026-08-06
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 4.0
2.4
منخفضةالمقاييسAV:L/AC:L/AT:P/PR:H/UI:A/VC:N/VI:L/VA:L/SC:H/SI:H/SA:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Mermaid الأقدم من 10.9.8
إصدارات Mermaid الأقدم من 11.16.1
الوصف
تقوم أدوات تعيين التكوين
mermaid.initialize() وmermaidAPI.setConfig() وmermaidAPI.updateSiteConfig() بدمج التكوين المقدم من قبل المستدعي في التكوين الداخلي باستخدام أداة المساعدة في الدمج العميق assignWithDepth، والتي تكون عرضة لتلوث النموذج الأولي. يحدث تلوث النموذج الأولي عندما يتمكن المهاجم من التلاعب بالنموذج الأولي لكائن أساسي، مما قد يؤدي إلى سلوك غير متوقع أو تجاوزات أمنية. لا يمكن استغلال هذه المشكلة إلا إذا قام التطبيق بإعادة توجيه بيانات غير موثوق بها مباشرةً إلى نقاط دخول التكوين هذه، وهو ما يخالف الاستخدام الموثق لها.التوصيات
قم بالتحديث إلى الإصدار 10.9.8 أو أحدث.
قم بالتحديث إلى الإصدار 11.16.1 أو أحدث.
تجنب تمرير البيانات التي يتحكم فيها المستخدم إلى الدوال
mermaid.initialize() وmermaidAPI.setConfig() وmermaidAPI.updateSiteConfig(). وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾