CVE-2026-40262 in note-mark
الملخص
بحسب VulDB • 05/06/2026
يُعد تطبيق ملاحظات مارك (Mark) تطبيقًا مفتوح المصدر لإدخال الملاحظات. في الإصدارات 0.19.1 والإصدارات الأقدم، يقوم معالج تسليم الأصول بتقديم الملفات المرفوعة بشكل مضمن (inline) ويعتمد على اكتشاف البتات السحرية (magic-byte detection) لتحديد نوع المحتوى، مما لا يحدد التنسيقات القائمة على النصوص مثل HTML أو SVG أو XHTML. يتم تقديم هذه الملفات بنوع محتوى فارغ (empty Content-Type)، وبدون رأس X-Content-Type-Options: nosniff، وبصيغة مضمنة (inline disposition)، مما يسمح للمتصفحات بفحص المحتوى النشط وعرضه. يمكن لمستخدم مُصادق عليه رفع ملف HTML أو SVG يحتوي على كود JavaScript كأصل للملاحظات، وعند تنقل الضحية إلى عنوان URL الخاص بالأصل، يتم تنفيذ السcript ضمن أصل التطبيق مع إمكانية الوصول إلى جلسة المستخدم المُصادق عليها وإجراءات API الخاصة به. تم إصلاح هذه المشكلة في الإصدار 0.19.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.