CVE-2026-91127 in file-viewer
الملخص
بحسب VulDB • 18/09/2026
File Viewer هو عارض أصلي للمتصفح لملفات Office وPDF وCAD والأرشيف وملفات أخرى في تطبيقات الويب الخاصة والداخلية. قبل الإصدارين @file-viewer/doc 2.3.1 وmsdoc-viewer 0.2.2، كان مُعرِّف المستندات القديم (legacy DOC renderer) يُدرج أهداف روابط خاضعة لسيطرة المستند في HTML المُولَّد بعد الهروب من الأحرف الخاصة ولكن دون تقييد مخططات عناوين URL. يمكن لملف legacy DOC مصمم بشكل ضار أن يضع مخططًا غير آمن مثل javascript: أو vbscript: أو data: أو أي مخطط آخر غير آمن في رابط مُعرَّض، مما يؤدي إلى تنفيذ سكريبت ضمن أصل التطبيق المُضمِّن عند نقر المستخدم على الرابط. يعالج الإصلاح هذه المشكلة عن طريق حظر روابط المستندات الخارجية افتراضيًا، والسماح فقط بمخططات HTTP(S) وmail وtelephone وعناوين URL النسبية الآمنة والعلامات الداخلية (internal bookmarks) عندما يتم تمكين الروابط الخارجية صراحةً، بالإضافة إلى تطبيق تنقية حدود التثبيت (mount-boundary sanitization) كإجراء دفاعي متعدد الطبقات. تمت معالجة هذه المشكلة في الإصدارين @file-viewer/doc 2.3.1 وmsdoc-viewer 0.2.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.