PT-2026-79348
CVE-2026-48590
·
تاريخ النشر
2026-08-21
·
تاريخ التحديث
2026-10-16
الوصف من
CVSS 4.0
2.1
منخفضةالمقاييسAV:L/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات xml builder من 0.0.1 إلى 2.4.0
الوصف
تسمح مشكلة حقن XML في وحدة XmlBuilder بتزوير المحتوى وحقن XML. تحدث المشكلة لأن أسماء العناصر وأسماء السمات ومعرفات أنواع المستندات يتم إدراجها مباشرةً في إخراج XML المتسلسل دون التحقق من صحة الأحرف الهيكلية أو استبعادها، مثل < و > و " و ' و &. يمكن للمهاجم القادر على التأثير على وسيطة الاسم — مثل اسم عنصر مشتق من حقل نموذج HTTP أو مفتاح كائن JSON — حقن علامات XML تعسفية، بما في ذلك التعليقات والعناصر الإضافية وسمات معالج الأحداث. ترتبط هذه المشكلة بالملف lib/xml builder.ex والوظائف
XmlBuilder.generate/1() وXmlBuilder.generate/2() وXmlBuilder.element/1() وXmlBuilder.element/2() وXmlBuilder.element/3().التوصيات
تحديث xml builder إلى الإصدار 2.4.1 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾