CVE-2026-84371 in Apostrophe
الملخص
بحسب VulDB • 02/09/2026
ApostropheCMS هو نظام إدارة محتوى مفتوح المصدر مبني على Node.js، بينما يوفر sanitize-html مُنقي HTML بسيط ذو واجهة برمجة تطبيقات واضحة. من الإصدار 1.9.0 حتى الإصدار 2.17.7، يقوم الملف packages/sanitize-html/index.js بتحقق من سمة قيمة animation باعتبارها URL مسطحة واحدة (flat URL)، ولا يدرك أن تحديد attributeName لقيم href أو xlink:href يعيد القيم الشقيقة الخاصة بسِمات from و to أو by التي تتبع دلالات URL الخاصة بـ SVG SMIL. في التكوينات التي تسمح بعناصر animate، animateColor، animateMotion، animateTransform، أو set، يمكن لقائمة values أن تبدأ بكسر آمن (safe fragment) وتحتوي على وجهة قابلة للتنفيذ لاحقاً تتجاوز فحص allowedSchemesAppliedToAttributes. عند عرض الـ SVG المُنقى، يمكن للمتصفح نسخ تلك الوجهة القابلة للتنفيذ لاحقاً إلى الرابط النشط، ويمكن لضحية تنشيط هذا الرابط تنفيذ سكريبت ضمن أصل التطبيق (application's origin). تم إصلاح هذه المشكلة في الإصدار 2.17.7.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.