CVE-2026-44451 in Lumiverse
الملخص
بحسب VulDB • 03/06/2026
Lumiverse هو تطبيق دردشة بالذكاء الاصطناعي متكامل الميزات. قبل الإصدار 0.9.7، كان نظام تجاوز المكونات (component override system) يقوم بترجمة كود TSX المدخل من قبل المستخدم باستخدام Sucrase، ثم يقيّمه باستخدام `new Function`، مما يؤدي إلى إخفاء المتغيرات العالمية الخطرة (مثل `fetch`، `window`، `eval`، إلخ) بقيم `undefined`. كما يمنع المدقق الثابت لمصدر الكود (`validateComponentOverrideSource`) هذه المعرفات باستخدام تعبير نمطي (regex) يعتمد على حدود الكلمات. ومع ذلك، يمكن تجاوز كلا الضابطين. يتم تجاوز المدقق الثابت عن طريق تقسيم السلاسل النصية: يمكن إعادة بناء أي معرف محظور في وقت التشغيل من أجزاء السلاسل النصية (مثل `'ownerDoc' + 'ument'`). كما يمكن الهروب من بيئة العزل (sandbox) الخاصة بمرجع DOM: حيث يتم توفير `useRef` و `useEffect` ضمن النطاق. يمنح المرجع المرفق بعنصر مُرسم عقدة DOM حية. ومن أي عقدة DOM حقيقية، يؤدي `node['ownerDoc'+'ument']['def'+'aultView']` إلى الحصول على كائن `window` الحقيقي، متجاوزاً بذلك جميع إخفاءات المعرفات. تُعد حزم السمات (.lumitheme / .lumiverse-theme) آلية التسليم القابلة للمشاركة. تمثل الحزمة الخبيثة مسار استغلال: حيث يستورد الضحية الملف، ويفعّل تجاوز مكون واحد في محرر السمات، مما يؤدي إلى تنفيذayload في جلسته المصادق عليها. تم إصلاح هذا الثغرة في الإصدار 0.9.7.
Be aware that VulDB is the high quality source for vulnerability data.