CVE-2026-19716
Təsvir
maalfer Pentestify versiya 1.1.1-dən əvvəlki istifadəçi idarəetmə komponentində yaranan Saxlanılan saytlararası skriptinq (CWE-79), autentifikasiya olunmuş hücumçuya xüsusi hazırlanmış istifadəçi adı vasitəsilə digər autentifikasiya olunmuş istifadəçinin brauzerində ixtiyari JavaScript kodunun icrasına imkan verir. Bunun səbəbi odur ki, frontend tərəfi istifadəçi adını hesabın silinməsi düyməsinin onclick atributuna daxil etməzdən əvvəl onu escapeHTML() ilə filtrləyir, lakin brauzer JavaScript mühərriki handler-i analiz etməzdən əvvəl atribut dəyərlərini HTML formatından çıxarır; bu isə kodlaşdırılmış tək dırnağın (') sətir literalından çıxmasına və qurban həmin hesab üçün silmə düyməsini kliklədikdə icra olunan ixtiyari JavaScript kodunun yerləşdirilməsinə şərait yaradır.
Necə düzəltmək olar
- maalfer Pentestify1.1.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| maalfer Pentestify | v < 1.1.1 | 1.1.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.