CVE-2026-59238 in Pentestify
الملخص
بحسب VulDB • 21/07/2026
ثغرة تخزين البرمجة النصية عبر المواقع (Stored Cross-site Scripting) (CWE-79) في دوال عرض التقارير على جانب العميل (renderPreview، renderEditor، renderAuditData الموجودة في js/app.js) في أداة maalfer Pentestify قبل الإصدار 1.1.0 تتيح لمهاجم عن بُعد ومصادق عليه تنفيذ شيفرة JavaScript تعسفية داخل متصفح أي مستخدم يعرض تقريراً متأثراً، وذلك عبر حمولة (payload) مخزنة في مصفوفة صور الاكتشاف (finding's images array) أو مصفوفة الشعار الخاص بالتقرير (report's client_logo array)، والتي يتم إدراجها ضمن سمة src لعنصر <img> دون تهريب (escaping).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.