PT-2026-79775
CVE-2026-7808
·
تاريخ النشر
2026-04-14
·
تاريخ التحديث
2026-08-24
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات justhtml الأقدم من 1.16.0
الوصف
تسمح مشكلات متعددة تتعلق بتجاوز عملية تنقية HTML للمحتوى النشط أو الخطير — مثل علامات البرامج النصية أو علامات الأنماط — بالبقاء بعد عملية التنقية، مما قد يؤدي إلى حدوث هجمات البرمجة النصية عبر المواقع. تؤثر هذه المشكلات بشكل أساسي على سيناريوهات الاستخدام المتقدمة بدلاً من مسار التنقية الافتراضي. تشمل الأسباب التقنية تغيير أو إعادة استخدام كائنات سياسة التنقية، مما قد يضعف عملية التنقية اللاحقة. بالإضافة إلى ذلك، قد تفشل المدخلات البرمجية لـ DOM المقدمة إلى الدالتين
sanitize() وsanitize dom() في اكتشاف أسماء العلامات التي تحتوي على أحرف كبيرة وصغيرة (على سبيل المثال، ScRiPt، StYlE). تشمل النواقل الأخرى أسماء أنواع المستندات البرمجية المصممة خصيصًا والتي يتم تسلسلها إلى ترميز نشط، والسياسات المخصصة التي تحافظ على SVG أو MathML والتي قد تسمح بعناصر الرسوم المتحركة، وسمات العرض التي تحتوي على مراجع خارجية url(...)، أو أشجار DOM التي تم تصنيفها خطأً على أنها namespace=”html“ لتجاوز فحوصات المحتوى الخارجي.التوصيات
تحديث justhtml إلى الإصدار 1.16.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾