PT-2026-79078
CVE-2026-73254
·
تاريخ النشر
2026-08-20
·
تاريخ التحديث
2026-08-20
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Mongoose الأقدم من 7.22
الوصف
توجد ثغرة تسمح للمهاجم بتشغيل هجوم «البرمجة النصية عبر المواقع» (XSS) المخزنة عن طريق إنشاء ملف يحتوي اسمه على حمولة HTML. ويحدث ذلك عندما يتصفح المستخدم دليلًا يتم تقديمه باستخدام
MG ENABLE DIRLIST. تقوم الدالة printdirentry()، التي يتم استدعاؤها بواسطة listdir() في src/http.c، بترميز عنوان href باستخدام URL، لكنها تُدرج اسم الملف الخام من نظام الملفات في نص رابط HTML. ونتيجة لذلك، يقوم المتصفح بتنفيذ العلامات المُحقنة في مصدر Mongoose، مما قد يؤدي إلى كشف بيانات الجلسة أو السماح بتنفيذ إجراءات نيابة عن الضحية.التوصيات
قم بالتحديث إلى الإصدار 7.22.
كإجراء تخفيفي مؤقت، قم بتعطيل ميزة
MG ENABLE DIRLIST لمنع تصفح الدلائل.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾