PT-2026-71921
CVE-2026-73428
·
تاريخ النشر
2026-07-24
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
4.6
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Trix الأقدم من 2.1.18
الوصف
برنامج Trix معرض لخطر البرمجة النصية عبر المواقع المخزنة (XSS) عند لصق كود HTML مصمم خصيصًا في المحرر. تقوم وظيفة
HTMLParser بمعالجة مرفق وهمي في علامة <span> ذات قيمة data-trix-attachment فارغة، مما يؤدي إلى تطبيق data-trix-attributes على جزء سلسلة نصية عادي. تقبل الدالة StringPiece.fromJSON() قيمة href غير مصدقة، مما يسمح لـ URI javascript: بالدخول إلى نموذج المستند و HTML المتسلسل، والذي يتم تنفيذه عندما يقوم مستخدم آخر بعرض المحتوى والنقر عليه.التوصيات
التحديث إلى الإصدار 2.1.18.
تطبيق عملية تنقية HTML من جانب الخادم لتحييد الحمولات الضارة عند الحفظ.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾