PT-2026-79347
CVE-2026-47080
·
تاريخ النشر
2026-08-21
·
تاريخ التحديث
2026-10-16
الوصف من
CVSS 4.0
2.1
منخفضةالمقاييسAV:L/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
joshnuss xml builder من الإصدار 0.0.7 حتى 2.4.0
الوصف
تسمح ثغرة حقن XML في الوحدة النمطية
XmlBuilder بتزوير المحتوى وحقن XML. توجد المشكلة في ملف lib/xml builder.ex وتؤثر على الدوال XmlBuilder.generate/1() وXmlBuilder.generate/2() وXmlBuilder.escape/1(). على وجه التحديد، تعالج الدالة escape/1() {:cdata, data} عن طريق ربط البيانات بين علامات CDATA دون التحقق من تسلسل ]]>. ونظرًا لأن أقسام CDATA تفتقر إلى آلية هروب داخلية، يمكن للمهاجم الذي يقدم مدخلات تحتوي على ]]> إغلاق قسم CDATA قبل الأوان. وهذا يسمح بتفسير البايتات اللاحقة على أنها علامات XML عادية، مما يتيح حقن عناصر أو نصوص أو مراجع كيانات تعسفية في المستند الناتج.التوصيات
تحديث joshnuss xml builder إلى الإصدار 2.4.1.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾