CVE-2026-30082

ثغرات البرمجة النصية عبر المواقع المخزنة (Stored XSS) في ميزة التحرير بصفحة قائمة حزم البرامج في خادم IngEstate

الإصدار المتأثر: خادم IngEstate - 11.14.0

الوظيفة المتأثرة

الواجهة البرمجية المتأثرة: PUT /emgui/rest/appDatasheet//?full=true HTTP/1.1

إثبات الاختراق (PoC)

لاستغلال ثغرة البرمجة النصية عبر المواقع المخزنة (Stored XSS)، يجب على المستخدم المُصادق أولاً الوصول إلى صفحة قائمة حزم البرامج من خلال لوحة التحكم. تتفاعل ميزة التحرير مع نقطة نهاية الواجهة البرمجية /emgui/rest/appDatasheet/. يمكن للمهاجم بعد ذلك حقن حمولة XSS في معاملات "حول التطبيق" أو "ما الجديد" أو "ملاحظات الإصدار". بمجرد الحقن، يتم حفظ كود JavaScript الخبيث على الخادم ويتم تنفيذه تلقائيًا عندما يشاهد المستخدمون الآخرون تلك الأقسام لاحقًا.

النتيجة

يمكن للمهاجم تنفيذ كود JavaScript تعسفي في متصفحات المستخدمين الآخرين، مما يؤدي إلى اختطاف الجلسات، أو سرقة بيانات الاعتماد، أو تنفيذ إجراءات غير مصرح بها نيابةً عن الضحية. تؤثر هذه الثغرة على جميع المستخدمين الذين يشاهدون معلومات حزمة البرامج المخترقة.

المكتشف