یک آسیب‌پذیری از نوع Stored Cross-Site Scripting (XSS) در کتابخانه madpsy ka9q_ubersdr (نسخه‌های پیش از 0.1.58) شناسایی شده است که با شناسه CVE-2026-97723 ثبت شده است.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی در بخش رندرینگ پیام‌های چت (Chat Message Rendering) رخ می‌دهد. در این کتابخانه، URLهایی که توسط کاربر در پیام‌های چت وارد می‌شوند، پیش از تبدیل شدن به لینک‌های HTML به‌طور کامل پاک‌سازی (Neutralize) نمی‌شوند.
- مکانیسم حمله: مهاجم می‌تواند با استفاده از کاراکترهای نقل‌قول (Quotation characters)، از محدوده ویژگی
hrefخارج شده و ویژگی‌های HTML دلخواه خود را تزریق کند. - نتیجه حمله: این نقص اجازه می‌دهد کدهای JavaScript مخرب در مرورگر کاربرانی که پیام ذخیره‌شده را مشاهده می‌کنند، اجرا شود.
توصیه‌های امنیتی
به کاربران و توسعه‌دهگانی که از این کتابخانه استفاده می‌کنند توصیه می‌شود سریعاً به نسخه 0.1.58 یا نسخه‌های جدیدتر به‌روزرسانی کنند تا این حفره امنیتی بسته شود.
