PT-2026-79346
CVE-2026-47079
·
تاريخ النشر
2026-08-21
·
تاريخ التحديث
2026-08-21
الوصف من
CVSS 4.0
2.1
منخفضةالمقاييسAV:L/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
joshnuss xml builder من الإصدار 0.0.6 حتى 2.4.0
الوصف
يؤدي الترميز غير المناسب لسياق الإخراج في الوحدة النمطية
XmlBuilder إلى إمكانية حدوث تزوير المحتوى (Content Spoofing) والبرمجة النصية عبر المواقع (XSS). تكمن المشكلة في ملف lib/xml builder.ex وتؤثر على الروتينات XmlBuilder.generate/1() وXmlBuilder.generate/2() وXmlBuilder.escape string/1() وXmlBuilder.escape entity/1(). وعلى وجه التحديد، تفشل الدالة XmlBuilder.generate/1() في إخفاء الأحرف الحرفية & في النص أو قيم السمات عندما تتبعها رموز تشبه الكيانات مثل lt;، gt;، amp;، quot;، أو apos;. وهذا يسمح بإدراج المدخلات التي يزودها المهاجم حرفياً في XML المتسلسل. وعندما يقوم محلل XML لاحق بمعالجة المستند، فإنه يقوم بفك تشفير هذه التسلسلات إلى أحرف حرفية، مما يتيح حقن العلامات في المستهلكين الذين يعرضون المحتوى في سياقات حساسة للعلامات مثل HTML أو SVG أو موجزات RSS/Atom.التوصيات
تحديث joshnuss xml builder إلى الإصدار 2.4.1 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾