PT-2026-69129
CVE-2026-11425
·
تاريخ النشر
2026-08-07
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 3.1
4.4
متوسطةالمقاييسAV:N/AC:H/PR:L/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Domoticz السابقة للإصدار 2026.3
الوصف
توجد ثغرة في لوحة التحكم الخاصة بالجوال تتعلق بـ«التنفيذ البرمجي عبر المواقع» (XSS) المخزّن. يمكن للمهاجمين المصادق عليهم إدخال أكواد HTML وJavaScript تعسفية عن طريق تحديث قيم الجهاز الخاصة بالأنواع الفرعية «Text» أو «Alert» عبر واجهة برمجة التطبيقات (API). تقوم لوحة التحكم على الأجهزة المحمولة بعرض هذه البيانات باستخدام
ng-bind-html مع تحويل nl2br() الذي يفشل في تنفيذ عملية الهروب من HTML. وهذا يسمح بتخزين الحمولات الخبيثة وتنفيذها في متصفح المسؤول عند عرض لوحة التحكم، مما قد يؤدي إلى سرقة ملفات تعريف الارتباط الخاصة بالجلسة والاستيلاء على الحساب.التوصيات
التحديث إلى الإصدار 2026.3 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾