PT-2026-71082 · Unknown · Vulnerability-Lookup
CVSS v4.0
6.1
متوسطة
| المتجه | AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:H/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
Vulnerability-Lookup (لم يتم تحديد الإصدارات المتأثرة)
الوصف
توجد مشكلة في البرمجة النصية عبر المواقع (XSS) المخزنة في مرشح Jinja
render tag badges المستخدم لعرض علامات المراجع لسجلات الثغرات الأمنية. يقوم التطبيق بإدراج القيم مباشرةً من containers.cna.references[].tags[] في عناصر شارات HTML ويغلف النتيجة في markupsafe.Markup، مما يتجاوز عملية الترميز التلقائي لـ HTML في Jinja. يمكن للمستخدم المصادق عليه الذي يمتلك أذونات vulnerability:create أو vulnerability:modify إرسال علامات مرجعية مصممة خصيصًا عبر واجهة برمجة تطبيقات CNA تحتوي على HTML أو JavaScript تعسفي. يتم تخزين هذا المحتوى الضار وتنفيذه لاحقًا في متصفح أي مستخدم يزور نقاط النهاية العامة /cve/<id> أو /vuln/<id>. وقد يتيح ذلك للمهاجم تنفيذ إجراءات نيابة عن الضحية، أو الوصول إلى معلومات الجلسة، أو تعديل محتوى الصفحة، مما قد يؤثر على المستخدمين غير المصادق عليهم.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
استغلال
XSS
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Vulnerability-Lookup