PT-2026-68816
CVE-2026-71502
·
تاريخ النشر
2026-08-06
·
تاريخ التحديث
2026-08-09
الوصف من
CVSS 4.0
5.1
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
CTI-Transmute (لم يتم تحديد الإصدارات المتأثرة)
الوصف
تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored cross-site scripting) بسبب عدم كفاية عملية تحييد محددات تعبيرات قوالب Vue في البيانات التي يتحكم فيها المستخدم والتي يتم عرضها من جانب الخادم. يمكن لمهاجم غير مصدق إدخال تعبيرات Vue ضارة باستخدام محددات
[[ ... ]] ضمن اسم التحويل العام أو الوصف أو أسماء ملفات تعريف المستخدمين. على الرغم من استخدام ميزة Jinja HTML escaping، يتم وضع البيانات في منطقة DOM تم تجميعها بواسطة Vue، والتي تفسر المدخلات على أنها تعبير قالب بدلاً من نص عادي. من خلال استخدام مُنشئ دالة JavaScript عبر [].constructor.constructor(...)، يمكن للمهاجم تنفيذ تعليمات JavaScript تعسفية في سياق أمان منشأ CTI-Transmute. وهذا يتجاوز سياسة أمان المحتوى (CSP) القائمة على الرقم العشوائي (nonce) لأن مُجمِّع وقت تشغيل Vue يتطلب استثناء سياسة unsafe-eval. يتم تخزين الحمولة وتنفيذها عندما يقوم مستخدم أو مسؤول بعرض الصفحة المتأثرة، مما قد يسمح للمهاجم بالوصول إلى البيانات الحساسة، أو استخراج مفاتيح واجهة برمجة التطبيقات (API) أو الرموز المميزة، أو تنفيذ إجراءات تتطلب المصادقة، أو تعديل بيانات التطبيق.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾