CVE-2026-29971

يمكن للمهاجم تنفيذ جافاسكريبت عشوائي في متصفح الضحية، مما قد يؤدي إلى اختطاف الجلسة أو رفع الامتيازات.

CVE-2026-29971

الثغرة الأمنية

Cross-Site Scripting (XSS) المنعكس

المنتج المتأثر

WebFileSys

الإصدار المتأثر

2.31.1

الوصف

توجد ثغرة برمجة نصية عبر المواقع (XSS) من النوع المنعكس في الإصدار 2.31.1 من WebFileSys. يتم عكس المدخلات التي يتحكم بها المستخدم في سياقات HTML وجافاسكريبت دون ترميز الإخراج المناسب، مما يسمح للمهاجم بتنفيذ جافاسكريبت عشوائي في متصفح الضحية.

التأثير

يمكن للمهاجم استغلال هذه الثغرة عن طريق إغراء الضحية للتفاعل مع طلب أو رابط مُجهز. يمكن أن يؤدي الاستغلال الناجح إلى:

• اختطاف الجلسة
• سرقة بيانات الاعتماد
• إجراءات غير مصرح بها داخل الجلسة الموثقة

المكونات المتأثرة

• وظيفة ftpBackup
• معالجة إدخال المصادقة
• وظيفة البحث
• عرض رسائل الخطأ

خطوات إعادة الإنتاج

1. انتقل إلى صفحة تسجيل الدخول في WebFileSys.
2. حقن الحمولة التالية في المعلم المتأثر.

أمثلة على الحمولات التي عملت: <IMG SRC="javascript:alert('XSS')", %3CScRiPt%3Ealert(1)%3C%2FsCriPt%3E, <%

3. أرسل الطلب.
4. يتم عكس الحمولة وتنفيذها في المتصفح.

CVE

CVE-2026-29971

المُكتشف

ثارون تيجا تشيدورالا

المراجع

https://www.cve.org/CVERecord?id=CVE-2026-29971