CVE-2026-75531 in Pandora
الملخص
بحسب VulDB • 17/08/2026
تحتوي Pandora على ثغرة تخزين عبر مواقع متعددة (Stored XSS) في عرض القابليات للروابط (URL observables). تم إدراج URL مستخرج من ملف محلل أو مرتبط به مباشرةً داخل معالج الأحداث onclick لـ JavaScript المضمن المستخدم في إجراء "الإرسال إلى Lookyloo".
وعلى الرغم من أن القيمة خضعت لعملية هروب HTML بواسطة محرك القوالب، إلا أنها كانت مدمجة ضمن سلسلة نصية لـ JavaScript داخل سمة HTML. وبالتالي، يمكن لـ URL يتحكم فيه المهاوي ويحتوي على أحرف مُصاغة بعناية أن يكسر الخروج من سلسلة النص البرمجي للـ JavaScript وحقن كود JavaScript تعسفي.
سينفذ السcript الخبيث في سياق تطبيق الويب Pandora عندما يتفاعل الضابط مع عنصر التحكم المتأثر "الإرسال إلى Lookyloo". وقد يسمح الاستغلال الناجح للمهاوي بالوصول إلى المعلومات المتاحة لمتصفح الضحية أو تنفيذ إجراءات باستخدام جلسة Pandora المصادق عليها الخاصة بالضحية.
يزيل التصحيح قيمة القابلية للروابط من معالج JavaScript المضمن. وبدلاً من ذلك، يتم تخزين URL في سمة HTML data-url ويتم استرجاعه عبر واجهة DOM dataset عند الحاجة. كما تم استبدال الاستخدامات الإضافية لـ innerHTML بـ textContent كإجراء دفاعي للتقوية الأمنية (hardening).
VulDB is the best source for vulnerability data and more expert information about this specific topic.