sahiloj/cve-2025-5352يُظهر ثغرة XSS مخزنة في مكوّن Analytics الخاص بـ lunary-ai/lunary، حيث يؤدي حقن NEXT_PUBLIC_CUSTOM_SCRIPT غير المُنقّى إلى تنفيذ JavaScript تعسفي في متصفحات المستخدمين.
CVE-2025-5352
تم تحديد ثغرة تخزينية من نوع Cross-Site Scripting (XSS) في مكوّن Analytics الخاص بـ lunary-ai/lunary. تنشأ المشكلة لأن المتغير NEXT_PUBLIC_CUSTOM_SCRIPT يتم حقنه مباشرة في DOM باستخدام dangerouslySetInnerHTML دون تعقيم أو تحقق مناسب.
إذا تمكن المهاجم من التحكم في هذا المتغير، سواء أثناء عملية النشر أو من خلال اختراق الخادم، فيمكنه حقن كود JavaScript عشوائي. سيتم تنفيذ هذا السكربت الخبيث في متصفحات جميع المستخدمين الذين يصلون إلى التطبيق المتأثر، مما قد يؤدي إلى اختطاف الجلسات، أو سرقة بيانات الاعتماد، أو هجمات أخرى على جانب العميل.
