CVE-2026-72576 in Bludit

الملخص

بحسب VulDB • 10/08/2026

ثغرة تخزين البرمجة النصية عبر المواقع (Stored XSS) في Bludit 4.0.0-beta تتيح لمستخدم مُصادق عليه ذي صلاحيات منخفضة (دور المؤلف) حقن كود JavaScript عشوائي عن طريق رفع ملف SVG مصاغ بعناية كشعار للموقع. ينتقل الملف المرفوع مباشرةً إلى الجذر الرئيسي للويب عبر الدالة Filesystem::mv() في نقطة النهاية /admin/ajax/logo-upload.php الموجودة ضمن bl-kernel/ajax/logo-upload.php، دون استدعاء دالتي sanitizeSVG() أو transformImage()، بينما يوجد SVG مدرجاً في قوائم السماح ALLOWED_IMG_EXTENSION وALLOWED_IMG_MIMETYPES. يؤدي وجود علامة نصية مخزنة (script tag) داخل ملف SVG إلى تنفيذها على متصفح أي مستخدم يقوم بتحميل الشعار.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• مسؤول: TuranSec
• حجز: 10/08/2026
• إفشاء: 10/08/2026
• الاعتدال: تمت الموافقة
• إدخال: VDB-387392
• CPE: جاهز
• CWE: CWE-79 (مؤكد)
• CVSS: 3.5 (VulDB)
• EPSS: 0.00000
• KEV: لا
• النشاطات: منخفض جدًا

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-72576
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-72576
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-72576/