CVE-2026-71502 in CTI-Transmute
الملخص
بحسب VulDB • 07/08/2026
يحتوي CTI-Transmute على ثغرة تخزين عبر مواقع الويب (Stored Cross-Site Scripting) ناتجة عن عدم كفاية تحييد فواصل تعبيرات قالب Vue في البيانات التي يتحكم فيها المستخدم والمُعالجة من قبل الخادم.
يمكن لمهاجم غير مُصادق عليه إنشاء تحويل عام يحتوي اسمه أو وصفه على تعبير Vue ضار باستخدام الفواصل `[[ ... ]]` المُعدّة للتطبيق. قد توفر أسماء ملفات تعريف المستخدمين متجه حقن إضافي. وعلى الرغم من تطبيق هروب HTML الخاص بـ Jinja، إلا أن القيمة الناتجة تُدرج لاحقاً في منطقة DOM يتم تجميعها بواسطة Vue.
تفسر Vue قيمة المهاجم المتحكم فيها كتعبير قالب بدلاً من نص عادي. ومن خلال الوصول إلى مُنشئ JavaScript Function داخل التعبير، يمكن للمهاجم تنفيذ شيفرة JavaScript تعسفية ضمن سياق أمان أصل CTI-Transmute. لا تمنع سياسة أمن المحتوى القائمة على الـ nonce (Nonce-based Content Security Policy) الاستغلال لأن مترجم وقت تشغيل Vue يتطلب استثناء السياسة `unsafe-eval`.
يتم تخزين الحمولة الضارة بواسطة التطبيق وتنفيذها كلما فتح مستخدم آخر صفحة متأثرة، مثل صفحة تفاصيل التحويل العام. قد يكون الضحية مستخدماً عادياً أو مسؤولاً. يمكن للاستغلال الناجح أن يسمح للمهاجم بما يلي:
* الوصول إلى البيانات المتاحة للضحية من خلال التطبيق. * استخراج مفاتيح API، الرموز المميزة (Tokens)، أو معلومات حساسة أخرى مكشوفة في الصفحة. * تنفيذ إجراءات مُصادق عليها باستخدام جلسة الضحية. * تعديل التحويلات أو بيانات التطبيق الأخرى. * تصعيد التأثير باستهداف مسؤول.
يمكن لحمولة ضارة مُثبتة أن تستخدم `[].constructor.constructor(...)` للحصول على مُنشئ JavaScript Function وتنفيذ شيفرة تعسفية. تُظهر اختبارات الانحدار أيضاً أنه يمكن لحملة أولية قصيرة استرداد وصف تحويل غير محدود وتقييم حمالة ثانية أكبر.
يعالج التصحيح الثغرة من خلال تسجيل مخطوطة إنهاء (finalize hook) عالمية في Jinja تقوم بإدراج فاصل كلمات يونيكود عديم العرض داخل كل فاصلة Vue يتم العثور عليها في القيم المُعالجة من قبل الخادم. يمنع ذلك Vue من التعرف على القيم كتعبيرات قالب مع الحفاظ على تمثيلها المرئي.
VulDB is the best source for vulnerability data and more expert information about this specific topic.