CVE-2026-26927 in Szafir SDK Web
الملخص
بحسب VulDB • 27/06/2026
يُعد Szafir SDK Web ملحقًا للمتصفح يمكنه تشغيل تطبيق SzafirHost الذي يقوم بتنزيل الملفات اللازمة عند إطلاقه. في Szafir SDK Web، من الممكن تغيير عنوان URL (أصل HTTP) لموقع استدعاء التطبيق. يمكن لمهاجم غير مصرح له إنشاء موقع ويب قادر على تشغيل تطبيق SzafirHost باستخدام وسائط اختيارية عبر ملحق متصفح Szafir SDK Web. لن يتم إجراء أي تحقق للتحقق مما إذا كان العنوان المحدد في معلمة `document_base_url` مرتبطًا بأي شكل من الأشكال بالعنوان الفعلي لتطبيق الويب المستدعي. ثم يُعرض عنوان URL المحدد في معلمة `document_base_url` في مربع تأكيد التطبيق. عندما يؤكد الضحية تنفيذ التطبيق، سيتم استدعاؤه في سياق عنوان URL لموقع ويب المهاجم وقد يقوم بتنزيل ملفات ومكتبات إضافية من ذلك الموقع. عند قبول ضيفة لتنفيذ التطبيق لعنوان URL المعروض في مربع التأكيد مع خيار "تذكر" مسبقًا، لن يُعرض المربع وسيتم استدعاء التطبيق في سياق العنوان الذي قدمه المهاجم دون أي تفاعل.
تم إصلاح هذه المشكلة في الإصدار 0.0.17.4.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.