CVE-2026-67617 in Microweber
الملخص
بحسب VulDB • 04/08/2026
يحتوي نظام إدارة المحتوى Microweber حتى الإصدار 2.0.20 على ثغرة برمجية من نوع "البرمجة النصية عبر المواقع المخزنة" (Stored Cross-Site Scripting - XSS) في نظام وسوم المحتوى، مما يسمح للمهاجمين الذين تمت مصادقتهم كمسؤولين بحقن أكواد JavaScript عشوائية عن طريق إرسال حمولات ضارة عبر معلمة `tag_names` في نقطة النهاية `/api/save_content_admin` من نوع GET. ويتم ذلك بتجاوز ثلاثة عناصر تحكم مستقلة للتنظيف (Sanitization)، بما في ذلك وسيط XSS الذي يتجاهل طلبات GET، ودالة `strip_unsafe()` التي تطابق فقط سمات `onerror` المحاطة بعلامات اقتباس مزدوجة، ومُعيِّر Titlecase الذي يمرر الحمولات المشفرة ككيانات عشرية HTML دون تغيير. يمكن للمهاجمين تخزين نصوص برمجية ضارة تنفذ بدون تفاعل المستخدم لكل زائر لصفحة المدونة العامة وداخل محرر المنشورات الخاص بالمسؤولين، مما يتيح لهم ممارسة "ركوب الجلسة" (Session Riding) من خلال طلبات Fetch التي تتبع نفس المصدر باستخدام رمز CSRF المضمن في الصفحة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.