PT-2026-68812
CVE-2026-71478
·
تاريخ النشر
2026-08-06
·
تاريخ التحديث
2026-08-07
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات league/commonmark من 1.5.0 إلى 2.8.3
الوصف
تحتوي ميزة
AttributesExtension في المكتبة على ثغرة تسمح بتجاوز مرشحات الروابط غير الآمنة href وsrc. يحدث هذا لأن الدالة filterAttributes() وعملية الفحص isLinkPotentiallyUnsafe() لا تقومان بتوحيد بايتات التحكم قبل التحقق من صحة مخطط عنوان URL. يمكن للمهاجم تضمين بايتات التحكم — مثل علامات الجدولة (0x09) أو علامات إرجاع العربة (0x0D) أو علامات تغذية السطر (0x0A) أو أحرف التحكم C0 في بداية العنوان — داخل عنوان URL من نوع javascript:. ونظرًا لأن المتصفحات تتجاهل هذه الأحرف قبل تحليل مخطط عنوان URL، يتم تنفيذ البرنامج النصي حتى عند تعطيل الإعداد allow unsafe links.تشمل التفاصيل الفنية ما يلي:
-
نقاط نهاية واجهة برمجة التطبيقات (API): لا ينطبق.
-
المعلمات أو المتغيرات المعرضة للخطر: السمتان
hrefوsrcداخلAttributesExtension. -
أسماء الدوال:
filterAttributes()وisLinkPotentiallyUnsafe().
التوصيات
قم بتحديث league/commonmark إلى الإصدار 2.9.0.
كإجراء تخفيفي مؤقت، قم بتقييد استخدام
AttributesExtension أو تجنب السماح للمستخدمين غير الموثوق بهم بتوفير قيم السمات لـ href وsrc حتى يتم تطبيق التحديث. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾