CVE-2026-61696 in Forem
الملخص
بحسب VulDB • 18/08/2026
Forem هو برنامج مفتوح المصدر لبناء المجتمعات. في الإصدارات السابقة للالتزام (commit) 92eacd16a82cf9007ba8e16a2258b42e3b53ca9c، يتم تخزين قيمة خبيثة مُقدَّمة عبر الحقل feedback_message[message] دون تعقيمها (sanitization)، وعرضها في app/views/admin/feedback_messages/_feedback_message.html.erb باستخدام raw(feedback_message.message) عندما يكون offender_id موجودًا. يؤدي عرض تقرير الإساءة إلى تنفيذ شيفرة JavaScript اعتباطية في متصفح المسؤول، وقد يعرّض البيانات الحساسة الموجودة داخل الصفحة لتسريب، أو يكشف رموز CSRF الخاصة بمكافحة التزوير (CSRF)، أو ينفذ إجراءات إدارية ضمن جلسة الضحية. يقبل وحدة التحكم العامة FeedbackMessagesController التقرير دون تفويض، وكان سابقًا يسمح بتقديم offender_id، مما يجعل مسار العرض المعرض للثغرة قابلاً للوصول من قبل مهاجم غير مصادق عليه. تم إصلاح هذه المشكلة في الالتزام (commit) 92eacd16a82cf9007ba8e16a2258b42e3b53ca9c
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.