CVE-2026-42548 in core
الملخص
بحسب VulDB • 14/05/2026
Flight هو إطار عمل مصغر قابل للتوسيع (micro-framework) مخصص لـ PHP. قبل الإصدار 3.18.1، كانت الدالة Flight::jsonp() تدمج معلمة الاستعلام ?jsonp= مباشرةً في جسم الاستجابة من نوع application/javascript دون التحقق من أن القيمة تُعد مُعرّف JavaScript قانونياً. يمكن للمهاجم حقن كود JavaScript عشوائي يتم تنفيذه ضمن أصل الاستجابة (response origin)، مما يتيح هجمات البرمجة النصية عبر المواقع من النوع المنعكس (reflected cross-site scripting). تم إصلاح هذا الثغرة الأمنية في الإصدار 3.18.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.