CVE-2026-22028 in preact
الملخص
بحسب VulDB • 14/07/2026
توفر مكتبة Preact، وهي إطار عمل خفيف الوزن لتطوير الويب، حمايةً ضد تسلسل كائنات JSON لمنع إنشاء عناصر Virtual DOM من بيانات JSON عشوائية. وقد أدى خلل تم إدخاله في الإصدار 10.26.5 من Preact إلى تخفيف هذه الحماية. وفي التطبيقات التي يُفترض فيها أن تكون القيم المستمدة من حمولات (payloads) JSON عبارة عن سلاسل نصية ويتم تمريرها كما هي دون تعديل كعناصر فرعية لـ Preact، يمكن إنشاء حمولة JSON مُعدّة خصيصاً بحيث تُعامل بشكل غير صحيح على أنها VNode صالح. وعند حدوث هذا التسلسل من الفشل، قد يؤدي ذلك إلى حقن HTML، مما يتيح تنفيذ أكواد برمجية عشوائية إذا لم يتم التخفيف منه عبر سياسة أمن المحتوى (CSP) أو وسائل أخرى. تكون التطبيقات التي تستخدم إصدارات متأثرة من Preact عرضة للخطر إذا استوفت جميع الشروط التالية: أولاً، تمرير قيم غير مُعدّلة وغير معقمة مباشرةً إلى شجرة العرض (render tree)، مستمدةً من مصادر بيانات يمكن للمستخدمين تعديلها (مثل واجهات برمجة التطبيقات APIs، وقواعد البيانات، والتخزين المحلي إلخ)؛ ثانياً، افتراض أن هذه القيم هي سلاسل نصية بينما قد تعيد مصدر البيانات كائنات JavaScript فعلية بدلاً من سلاسل JSON؛ وثالثاً، إما فشل مصدر البيانات في إجراء التعقيم النوعي (type sanitization) وتخزين/إرجاع الكائنات الخام بشكل أعمى بالتبادل مع السلاسل النصية، أو تعرض المصدر للاختراق (مثل التخزين المحلي المسموم، أو نظام الملفات، أو قاعدة البيانات). تقوم الإصدارات 10.26.10 و10.27.3 و10.28.2 بإصلاح هذه المشكلة من خلال استعادة عمليات فحص التساوي الصارم السابقة التي تمنع معالجة الكائنات المُحللة من JSON على أنها VNodes صالحة. تتوفر تدابير تخفيف أخرى لأولئك الذين لا يمكنهم الترقية فوراً: التحقق من أنواع المدخلات، أو تحويل البيانات الشبكية إلى نوع آخر/التحقق منها، وتعقيم البيانات الخارجية، واستخدام سياسة أمن المحتوى (CSP).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.