PT-2026-76771
CVE-2026-63670
·
تاريخ النشر
2026-08-17
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات ApostropheCMS الأقدم من 2.17.6
الوصف
تسمح الدالة
sanitizeHtml() الموجودة في ملف packages/sanitize-html/index.js بمرور علامات قابلة للتنفيذ غير مسموح بها عندما يتم تضمين textarea أو xmp في allowedTags. يحدث هذا لأن علامة الخط المائل (|) الحرفية التي تلي اسم علامة نهاية النص الخام تُعامل كنص بواسطة htmlparser2، ويقوم معالج ontext بإخراج هذا المحتوى دون إخراجه. ونتيجة لذلك، قد يقوم المتصفح بتحليل علامات img onerror اللاحقة على أنها HTML نشط، مما يؤدي إلى حدوث Mutation-XSS (التنفيذ البرمجي عبر المواقع حيث يختلف تحليل HTML في المتصفح عن تحليل أداة التنقية).التوصيات
التحديث إلى الإصدار 2.17.6.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾