CVE-2025-64027
Snipe-IT v8.3.4 (build 20218) يحتوي على ثغرة برمجة نصية عبر المواقع (XSS) انعكاسية في سير عمل استيراد CSV. عند رفع ملف CSV غير صالح، يُرجع التطبيق قيمة...
- تم النشر
- 20/11/2025
- محدث
- 26/11/2025
- تخصيص CNA
- mitre
- الأدلة المرصودة
- 08/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:Nمنخفض · الثلاثين يومًا القادمة
- المئوية
- 13.6%
- تاريخ الموديل
- 17/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
Snipe-IT v8.3.4 (build 20218) يحتوي على ثغرة برمجة نصية عبر المواقع (XSS) انعكاسية في سير عمل استيراد CSV. عند رفع ملف CSV غير صالح، يُرجع التطبيق قيمة progress_message يتم عرضها كـ HTML خام في واجهة الإدارة. يمكن للمهاجم اعتراض وتعديل طلب POST /livewire/update لحقن HTML أو JavaScript اعتباطي في progress_message. ولأن الخادم يقبل الإدخال المعدَّل دون تنقية ويعكسه إلى المستخدم، يتم تنفيذ JavaScript اعتباطي في متصفح أي مسؤول موثَّق يعرض صفحة الاستيراد. ملاحظة: يعترض المورِّد على هذا التقرير لأنه يُظهر فقط أن المستخدم الموثَّق يمكنه اختيار شن هجوم رجل في المنتصف (man-in-the-middle) ضد نفسه.
المصادر
ثغرة البرمجة النصية عبر المواقع (XSS) المنعكسة في سير عمل استيراد CSV في Snipe-IT
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.