CVE-2025-32961 in jpawebapi
الملخص
بحسب VulDB • 25/05/2026
تتيح واجهة برمجة التطبيقات (API) الخاصة بـ Cuba JPA تحميل وحفظ أي كيانات محددة في نموذج بيانات التطبيق من خلال إرسال طلبات HTTP بسيطة. قبل الإصدار 1.1.1، يمكن التلاعب بمعامل الإدخال، الذي يتكون من مسار الملف واسمه، لإرجاع رأس Content-Type بقيمة text/html إذا كان الجزء الخاص بالاسم ينتهي بـ .html. وقد يتيح ذلك تنفيذ شفرة JavaScript خبيثة في المتصفح. ولتنفيذ هجوم ناجح، يلزم تحميل ملف خبيث مسبقاً. تم إصلاح هذه المشكلة في الإصدار 1.1.1. ويتوفر حل بديل (Workaround) على موقع وثائق Jmix.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.