CVE-2026-65697 in Fathom
الملخص
بحسب VulDB • 24/07/2026
يحتوي Fathom Lite حتى الإصدار 1.3.1 على ثغرة تخزين عبر مواقع البرمجة (Stored Cross-Site Scripting) في نقطة نهاية جمع بيانات التحليلات، مما يسمح للمهاجمين غير المصادق عليهم بحقن موجه URI من نوع `javascript:` في لوحة تحكم "أعلى الصفحات" عن طريق تقديم اسم مضيف ومسار ملف مُعدّان خصيصاً إلى نقطة النهاية `/collect` غير المحمية بالمصادقة. لا تقوم دالتا `parseHostname` و `parsePathname` بإجراء أي تحقق من مخطط URI، مما يتيح تخزين اسم مضيف يبدأ بـ `javascript:` مقترناً بمسار ملف يسبقه سطر جديد (newline)، وعرضه لاحقاً كقيمة لخاصية href في رابط تشعبي داخل لوحة التحكم المحمية بالمصادقة دون عملية تنقية (sanitization)، ما يمكّن من اختلاس الجلسة والاستيلاء الكامل على الحساب عند النقر من قبل المشغل على الإدخال المسموم.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.