یک آسیب‌پذیری از نوع Reflected Cross-Site Scripting (XSS) در وب‌سایت MateisHomePage (توسعه یافته توسط coolbeans1212) شناسایی شده است که کد CVE-2026-102292 به آن اختصاص یافته است.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی در فایل users.php و به‌طور مشخص در مدیریت آرگومان Search رخ می‌دهد. مهاجمان می‌توانند از طریق ارسال یک لینک دست‌کاری شده (Crafted Link) حاوی یک Payload در پارامتر GET، کدهای جاوااسکریپت (JavaScript) دلخواه را در مرورگر کاربر قربانی اجرا کنند.
تحلیل بردار حمله
- دسترسی: حمله به‌صورت از راه دور (Remote) و بدون نیاز به احراز هویت (Unauthenticated) قابل اجرا است.
- شرط اجرا: برای موفقیت حمله، کاربر قربانی باید روی لینک ارسالی مهاجم کلیک کند (UI:R).
- تاثیر: اسکریپت تزریق شده در محیط مرورگر کاربر اجرا شده و می‌تواند مرزهای اعتماد اپلیکیشن (Trust Boundary) را رد کند، هرچند تاثیر آن بر محرمانگی و یکپارچگی داده‌ها محدود ارزیابی شده است.
وضعیت اصلاحیه و توصیه‌ها
با توجه به اینکه این محصول از مدل توزیع مداوم (Continuous Delivery) با نسخه‌های غلتان (Rolling Releases) استفاده می‌کند، جزئیات دقیقی از شماره نسخه‌های آسیب‌پذیر یا به‌روزرسانی شده منتشر نشده است. با این حال، یک Patch برای رفع این مشکل ارائه شده است. به مدیران سیستم توصیه می‌شود سریعاً اصلاحیه‌های مربوطه را اعمال کنند تا از سوءاستفاده احتمالی جلوگیری شود.
