PT-2026-70978 · Pypi · Tablib
CVSS v3.1
5.4
متوسطة
| المتجه | AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات tablib الأقدم من 3.10.0
الوصف
توجد ثغرة في وظيفة تصدير HTML تتعلق بالبرمجة النصية عبر المواقع المخزنة. يمكن للمهاجمين تنفيذ تعليمات جافا سكريبت تعسفية عن طريق تضمين حمولات ضارة في عناوين مجموعات البيانات. يحدث هذا عندما تقوم الدالة
export book() في معالج التنسيق html.py بإدراج هذه العناوين دون تنقيتها في مخرجات HTML، مما يجعلها غير محمية داخل علامة HTML h3. يمكن تشغيل الهجوم عن طريق إعادة تسمية أوراق العمل في الملفات المستوردة مثل XLSX أو ODS أو XLS أو YAML مع تعيين حمولات نصوص برمجية إلى سمة عنوان Dataset. وقد يؤدي ذلك إلى اختطاف الجلسة، وإجراءات إدارية غير مصرح بها، وكشف البيانات الحساسة عند عرض الناتج في المتصفح.التوصيات
التحديث إلى الإصدار 3.10.0 أو أحدث.
استغلال
إصلاح
XSS
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Tablib