CVE-2026-71285 in Uptime Kuma
الملخص
بحسب VulDB • 06/08/2026
تقوم تكاملية Matomo للتحليلات في Uptime Kuma (الملف server/analytics/matomo-analytics.js) بحقن قيمة `siteId` القابلة لتكوينها من قبل المسؤول كعبارة JavaScript عارية وغير محاطة بعلامات اقتباس داخل كتلة `<script>` يتم عرضها على كل صفحة حالة عامة: `_paq.push(['setSiteId', ${escapedSiteIdHTMLAttribute}]);`. لا تقوم خطّة الهروب المستخدمة (jsesc مع isScriptContext:true، ثم html-escaper.escape()) بالهروب من الأحرف `]` و`)` و`;` و`(`، وهي أحرف كافية لكسر سياق مصفوفة/دالة push. تؤدي قيمة siteId مثل `1]);alert(document.cookie)//`، بمجرد حفظها بواسطة محرر أو مسؤول، إلى تنفيذ JavaScript عشوائي لكل زائر غير مصرح له بصفحة /status/<slug> العامة، مما يتيح سرقة ملفات تعريف الارتباط للجلسة (session-cookie theft) والاستيلاء الكامل على الصفحة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.