CVE-2026-31281

ملخص

# Totara LMS v19.1.5 والإصدارات الأقدم عرضة لحقن HTML يمكن للمهاجم حقن كود HTML خبيث في رسالة وإرسالها إلى جميع المستخدمين في التطبيق، مما يؤدي إلى تنفيذ الكود وقد يؤدي إلى اختطاف الجلسة وتنفيذ أوامر على متصفح الضحية. **ملاحظة:** يذكر المورّد أن اسم المنتج هو Totara Learning وأن الوظيفة المشار إليها هي عميل المراسلة داخل التطبيق. ويشيرون إلى أن عميل المراسلة داخل التطبيق لديه فقط القدرة على تضمين قائمة محددة مسموح بها من وسوم HTML شائعة الاستخدام لتحسين النص، والتي تشمل italic و bold و underline و strong وغيرها. أخيرًا، يذكرون أن عميل المراسلة داخل التطبيق لا يمكنه تضمين `<script>` أو `<style>` أو `<iframe>` أو `<object>` أو `<embed>` أو `<form>` أو `<input>` أو `<button>` أو `<svg>` أو `<math>` وغيرها، وأن أي محاولة لتضمين وسوم أو سمات خارج القائمة المسموح بها (بما في ذلك onerror و onaction وغيرها) يتم تعقيمها عبر DOMPurify.

• CVE-2026-31281إعلامية

  استشارة أمنية تفصّل ثغرة حقن HTML مصادق عليها في نظام Totara LMS تؤثر على الإصدارات قبل 19.1.5، مما يتيح اختطاف الجلسات وتنفيذ الأوامر عبر رسائل مصممة بعناية.