یک آسیب‌پذیری امنیتی از نوع Cross-Site Scripting (XSS) با شناسه CVE-2026-97233 در نرم‌افزار volotat Anagnorisis (نسخه‌های تا 0.4.11) شناسایی شده است.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی در تابع html مربوط به فایل PlaylistManager.js در کامپوننت Media Filename Handler رخ می‌دهد. یک مهاجم با دسترسی‌های محدود (Low-privilege) می‌تواند از طریق دستکاری آرگومان file_path یا نام فایل‌های رسانه‌ای، کدهای مخرب را تزریق کند.
سناریوی حمله
- پیش‌نیاز: مهاجم باید احراز هویت شده باشد اما لزوماً دسترسی‌های مدیریتی نداشته باشد.
- مراحل اجرا: مهاجم یک Payload را تزریق کرده و سپس قربانی (مثلاً یک کاربر با دسترسی بالاتر) باید لیست پخش یا ورودی رسانه‌ای آسیب‌پذیر را مشاهده کند تا کد در مرورگر وی اجرا شود.
- تاثیر: این حمله منجر به تاثیرات محدودی بر محرمانگی (Confidentiality) و یکپارچگی (Integrity) داده‌ها در محیط مرورگر می‌شود، اما تاثیری بر در دسترس بودن (Availability) سیستم ندارد.
وضعیت فعلی و پاسخ سازنده
در حال حاضر Exploit این آسیب‌پذیری به صورت عمومی منتشر شده است و می‌تواند مورد استفاده قرار گیرد. طبق گزارش‌ها، با سازنده نرم‌افزار برای رفع این مشکل تماس گرفته شده اما پاسخی دریافت نشده است و در نتیجه هیچ Patch رسمی برای رفع این نقص ارائه نشده است.
