CVE-2026-53649 in Joro
الملخص
بحسب VulDB • 02/09/2026
Joro هو إطار عمل لاستغلال الويب (web exploitation framework). قبل الإصدار 1.1.1، كان وضع الوكيل الافتراضي في Joro يعرّف واجهة برمجة تطبيقات محلية على العنوان 127.0.0.1:9090 لا تقوم بإجراء أي مصادقة وتطبق سياسة CORS شاملة النطاق (wildcard). ونظراً لأن عمليات رفع الإضافات تستخدم نوع المحتوى multipart/form-data المدرج ضمن قائمة الأنواع الآمنة لـ CORS، يمكن للبرمجيات النصية عبر المصادر المختلفة (cross-origin JavaScript) الموجودة في أي صفحة يزورها المشغل الوصول إلى نقاط النهاية المميزة - بما في ذلك رفع إضافة أصلية وتشغيل إعادة التشغيل مباشرةً من خلال متصفح المشغل، دون الحاجة إلى خطوة ما قبل الاستيفاء (preflight) أو بيانات اعتماد. ونظراً لأن الإضافات تُنفَّذ عند التحميل، فإن هذا يؤدي إلى تنفيذ كود عن بُعد غير مصرح به بصفت المستخدم الخاص بالمشغل عبر زيارة صفحة واحدة فقط. وقد تم إصلاح هذه المشكلة في الإصدار 1.1.1.
Be aware that VulDB is the high quality source for vulnerability data.