CVE-2026-32703
— 神龙十问 AI 深度分析摘要
CVSS 9.1 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：OpenProject Repositories 模块存在 **存储型 XSS** 漏洞。
💥 **后果**：攻击者可注入恶意脚本，当其他用户查看文件时触发，导致 **会话劫持** 或 **敏感数据泄露**。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-79 (跨站脚本)。
🐛 **缺陷点**：**文件名未正确转义**。系统直接渲染文件名，未过滤恶意 HTML/JS 代码。
Q3影响谁？（版本/组件）
🎯 **产品**：OpenProject (项目管理软件)。
📦 **受影响版本**：
- < 16.6.9
- < 17.0.6
- < 17.1.3
- < 17.2.1
⚠️ **组件**：Repositories 模块。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：
- 执行任意 **JavaScript** 代码。
- 窃取 **Cookie/Session** 令牌。
- 冒充合法用户操作项目。
- 读取/修改项目数据。
Q5利用门槛高吗？（认证/配置）
🔑 **利用门槛**：
- **需认证** (PR:L)：攻击者需登录账号。
- **需交互** (UI:R)：受害者需点击/查看包含恶意文件名的文件。
- **网络远程** (AV:N)：无需物理接触。
Q6有现成Exp吗？（PoC/在野利用）
📜 **Exp/PoC**：当前数据 **无公开 PoC** (pocs: [])。
🌍 **在野利用**：暂无报告。
🔗 **参考**：[GitHub Advisory](https://github.com/opf/openproject/security/advisories/GHSA-p423-72h4-fjvp)。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：
1. 检查 OpenProject 版本是否在 **受影响列表** 内。
2. 审查 Repositories 模块中上传的文件名是否包含 **特殊字符** 或 **脚本标签**。
3. 使用 WAF 规则检测文件名中的 **XSS 载荷**。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：已发布安全公告。
✅ **解决方案**：升级至 **16.6.9+**、**17.0.6+**、**17.1.3+** 或 **17.2.1+** 版本。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**：
- 限制 Repositories 模块的 **上传权限**。
- 对用户输入的文件名进行 **严格的白名单过滤**。
- 启用 **Content Security Policy (CSP)** 限制脚本执行。
Q10急不急？（优先级建议）
🚀 **优先级**：**高**。
- **CVSS**：H (高危)。
- **建议**：立即升级版本。存储型 XSS 危害持久，一旦触发影响广泛。