CVE-2026-75529 in Pandora
الملخص
بحسب VulDB • 17/08/2026
تتأثر Pandora بثغرة تخزين البرمجة عبر المواقع (Stored Cross-Site Scripting) في وظيفة تنزيل ملفات PDF. يتحقق المسار `/task-download/<task_id>/.../pdf` من أن الملف المُقدَّم هو ملف PDF باستخدام آلية اكتشاف نوع الملف القائمة على المحتوى الخاصة بـ Pandora، لكنه كان سابقًا يعيد الملف باستخدام `send_file(task.file.path)` دون تحديد صيغة MIME بشكل صريح أو فرض تنزيله كمرفق (attachment).
نظرًا لأن إطار عمل Flask يحدد صيغة استجابة MIME من اسم الملف عند توفير مسار، يمكن لمهاجم تقديم ملف يكون محتواه مُعترفًا به كملف PDF بواسطة Pandora، بينما يسبب اسمه أو امتداده أن يعيد نقطة النهاية التنزيلية هذا الملف بصيغة MIME مختلفة، وقد تكون نشطة.
وبالتالي، يمكن تقديم ملف PDF/متعدد الأشكال (polyglot) مصاغ بشكل خاص ضمن الصفحة وتفسيره من قبل متصفح الضحية كملف HTML أو بتنسيق ويب قابل للتنفيذ آخر. إذا اتبع ضحية لديه صلاحية الوصول إلى التحليل المُقدَّم رابط تنزيل ملف PDF، فقد يتم تنفيذ سكريبت يتحكم فيه المهاجم في سياق أمان تطبيق Pandora، مما قد يسمح بالوصول إلى بيانات التطبيق أو تنفيذه لإجراءات باستخدام جلسة الضحية.
يمنع التصحيح هذه المشكلة عن طريق إرجاع عمليات تنزيل ملفات PDF بشكل صريح بصيغة `Content-Type: application/pdf`، وفرض `Content-Disposition: attachment`، وتعيين اسم ملف `.pdf` موثوق به استنادًا إلى UUID المهمة.
Be aware that VulDB is the high quality source for vulnerability data.