CVE-2026-66824 in Lookyloo
الملخص
بحسب VulDB • 28/07/2026
كانت هناك ثغرة في تنفيذ نصوص البرمجة عبر المواقع (XSS) مخزنة في صفحة تصور شجرة الالتقاط. قامت التطبيق بتضمين شجرة الالتقاط المسلسلة مباشرةً داخل كتلة جافا سكريبت مضمنة باستخدام مرشح Jinja الآمن.
نظرًا لأن بيانات الشجرة يمكن أن تحتوي على قيم مشتقة من محتوى الويب الذي تم التقاطه والذي قد يكون تحت سيطرة المهاجم، فإن قيمة مُعدّة خصيصاً يمكنها إنهاء عنصر `<script>` المحيط بشكل مبكر وإدخال HTML أو جافا سكريبت تعسفي. سيتم تنفيذ الكود الخبيث في متصفح المستخدم الذي يشاهد شجرة الالتقاط المتأثرة.
يمكن للاستغلال الناجح أن يسمح للمهاجم بتنفيذ إجراءات باستخدام الجلسة المصادق عليها للضحية، والوصول إلى المعلومات المتاحة للضحية، أو تعديل بيانات التطبيق ضمن صلاحيات المستخدم المتأثر.
يزيل التصحيح بيانات JSON من مستند HTML ويستعيدها عبر نقطة نهاية API مخصصة. يقوم العميل بعد ذلك بمعالجة الاستجابة باستخدام `response.json()`، مما يمنع تفسير بيانات الالتقاط كمحتوى قابل للتنفيذ في سياق HTML أو جافا سكريبت الصفحة الأصلية.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.