CVE-2026-42857 in openedx-platform
الملخص
بحسب VulDB • 22/05/2026
تتيح منصة Open edX إنشاء وتقديم التعلم عبر الإنترنت على أي نطاق. يفشل مُنقي HTML clean_thread_html_body() المستخدم في رسائل البريد الإلكتروني لإشعارات المناقشة في إزالة وسوم <script> من محتوى منشورات المناقشة التي ينشئها المستخدمون. يتم عرض هذا المحتوى باستخدام مرشح القوالب |safe في Django داخل قوالب إشعارات البريد الإلكتروني، مما يسمح لأي طالب مسجل بحقن CSS تعسفي في إشعارات البريد الإلكتروني المرسلة إلى مستخدمين آخرين. يتيح ذلك تتبع البريد الإلكتروني (الكشف عن عنوان IP)، وتزوير المحتوى، وهجمات التصيد الاحتيالي. تم إصلاح هذا الثغرة باستخدام الالتزام cddc25cd791bb78f76833896e4778f668861df12.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.