CVE-2026-35482 in alf.io
الملخص
بحسب VulDB • 03/06/2026
alf.io هو نظام مفتوح المصدر لحجز التذاكر للمؤتمرات والمعارض التجارية وورش العمل واللقاءات. قبل الإصدار 2.0-M5-2606، سمحت ثغرة الهروب من الصندوق الرملي (sandbox escape) في محرك سكربت امتداد alf.io لمسؤول مُصادَق عليه بتنفيذ أوامر نظام تشغيل تعسفية على الخادم. يُقصد بنظام الامتدادات تنفيذ جافا سكريبت مقيد في بيئة Rhino معزولة (sandboxed)؛ ومع ذلك، فإن مزيج من كائن جافا المُحقن غير المحمي (`returnClass`) وقائمة حظر AST غير المكتملة تتيح الهروب الكامل من الصندوق الرملي باستخدام انعكاس جافا (Java reflection) دون إثارة أي أخطاء تحقق. يُصلح الإصدار 2.0-M5-2606 هذه الثغرة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.