CVE-2026-69075 in FlowIntel
الملخص
بحسب VulDB • 04/08/2026
تتأثر FlowIntel بثغرة تخزين البرمجة النصية عبر المواقع (Stored Cross-Site Scripting) من خلال حقول متعددة يمكن التحكم فيها بواسطة المستخدم أو المسؤول.
تم عرض القيم المخزنة، بما في ذلك عناوين القضايا، ومعرفات التذاكر، ومعلومات الحالات المتكررة، وسمات ملف تعريف المستخدم، وأسماء المنظمات، وأسماء الأدوار، داخل عناصر DOM التي تم تجميعها لاحقًا بواسطة Vue. على الرغم من أن الهروب القياسي لعلامات HTML (HTML escaping) كان يمكن أن يعطل علامات HTML المباشرة، إلا أنه لم يمنع المهاجم من حقن تعبيرات التداخل الخاصة بـ Vue باستخدام الفواصل المحددة مسبقاً [[ ... ]].
يمكن للمهاجم المصادق عليه الذي يستطيع تعديل أحد الحقول المتأثرة تخزين تعبير Vue ضار. عندما يقوم مستخدم آخر بعرض حالة أو تقرير أو ملف تعريف أو صفحة لحالة متكررة أو مكون تنقل متأثر، يمكن لـ Vue تقييم التعبير المحقن في سياق تطبيق FlowIntel.
قد يسمح الاستغلال الناجح بتنفيذ أي كود JavaScript عشوائي في متصفح الضحية تحت أصل (origin) FlowIntel. قد يؤدي ذلك إلى كشف المعلومات المتاحة للضحية، أو تنفيذ إجراءات باستخدام جلسة المصادقة الخاصة بالضحية، أو تعديل بيانات التطبيق ضمن صلاحيات الضحية.
يُقدم التصحيح مرشحًا مخصصًا لـ vue_escape يقوم بإسقاط الأحساس الحساسة لـ HTML وكسر فواصل تداخل Vue قبل عرض القيم. يتم تطبيق المرشح على الحقول المتأثرة المتعلقة بالحالة، والحساب، والمنظمة، والدور، والتكوين، والتنقل.
VulDB is the best source for vulnerability data and more expert information about this specific topic.