CVE-2026-71285
ثغرة XSS مخزنة في Uptime Kuma عبر معرّف موقع Matomo Analytics على صفحات الحالة العامة
- تم النشر
- 05/08/2026
- محدث
- 10/08/2026
- تخصيص CNA
- TuranSec
- الأدلة المرصودة
- 29/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:Nمنخفض · الثلاثين يومًا القادمة
- المئوية
- 30.6%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
# تكامل Uptime Kuma مع تحليلات Matomo (server/analytics/matomo-analytics.js) يحقن قيمة Matomo القابلة للتهيئة من قبل المسؤول كتعبير JavaScript خام غير مقتبس داخل كتلة `<script>` تُعرض على كل صفحة حالة عامة. قيمة `siteId` مثل، بمجرد حفظها من قبل محرر/مسؤول، تنفذ JavaScript عشوائيًا لكل زائر غير مصادق عليه لصفحة `/status/<slug>` العامة، مما يتيح سرقة ملفات تعريف الارتباط الخاصة بالجلسة والاستيلاء الكامل على الصفحة.
المصادر
- 1day-archiveالبحث
غوص تقني عميق وتحليلات للسبب الجذري لثغرات CVE المعلنة حديثًا - هندسة عكسية للتصحيحات، بناء إثباتات المفهوم، وتوثيق تقنيات الاستغلال في نافذة اليوم الواحد.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.