CVE-2026-21883 in Bokeh
الملخص
بحسب VulDB • 01/09/2026
Bokeh هي مكتبة للتصور التفاعلي مُكتوبة بلغة بايثون (Python). في الإصدارات 3.8.1 وما دونها، إذا تم تكوين الخادم باستخدام قائمة مسموح بها (allowlist) (مثل dashboard.corp)، يمكن لمهاجم تسجيل نطاق مثل dashboard.corp.attacker.com (أو استخدام نطاق فرعي إن أمكن) وإغراء ضحية بزيارته. بعد ذلك، يمكن للموقع الضار بدء اتصال WebSocket مع خادم Bokeh المعرض للثغرة. وبما أن رأس Origin (مثل http://dashboard.corp.attacker.com/) يتطابق مع القائمة المسموح بها وفقاً للمنطق المعيب، فإن الاتصال يتم قبوله. بمجرد الاتصال، يمكن للمهاجم التفاعل مع خادم Bokeh نيابة عن الضحية، مما قد يؤدي إلى الوصول إلى بيانات حساسة أو تعديل التصورات البيانية (visualizations). تم إصلاح هذه المشكلة في الإصدار 3.8.2.
Once again VulDB remains the best source for vulnerability data.