CVE-2026-32703 — 神龙十问 AI 深度分析摘要

🚨 **本质**：OpenProject Repositories 模块存在 **存储型 XSS** 漏洞。 💥 **后果**：攻击者可注入恶意脚本，当其他用户查看文件时触发，导致 **会话劫持** 或 **敏感数据泄露**。

🔍 **CWE**：CWE-79 (跨站脚本)。 🐛 **缺陷点**：**文件名未正确转义**。系统直接渲染文件名，未过滤恶意 HTML/JS 代码。

🎯 **产品**：OpenProject (项目管理软件)。 📦 **受影响版本**： - < 16.6.9 - < 17.0.6 - < 17.1.3 - < 17.2.1 ⚠️ **组件**：Repositories 模块。

🕵️ **黑客能力**： - 执行任意 **JavaScript** 代码。 - 窃取 **Cookie/Session** 令牌。 - 冒充合法用户操作项目。 - 读取/修改项目数据。

🔑 **利用门槛**： - **需认证** (PR:L)：攻击者需登录账号。 - **需交互** (UI:R)：受害者需点击/查看包含恶意文件名的文件。 - **网络远程** (AV:N)：无需物理接触。

📜 **Exp/PoC**：当前数据 **无公开 PoC** (pocs: [])。 🌍 **在野利用**：暂无报告。 🔗 **参考**：[GitHub Advisory](https://github.com/opf/openproject/security/advisories/GHSA-p423-72h4-fjvp)。

🔎 **自查方法**： 1. 检查 OpenProject 版本是否在 **受影响列表** 内。 2. 审查 Repositories 模块中上传的文件名是否包含 **特殊字符** 或 **脚本标签**。 3. 使用 WAF 规则检测文件名中的 **XSS 载荷**。

🛡️ **官方修复**：已发布安全公告。 ✅ **解决方案**：升级至 **16.6.9+**、**17.0.6+**、**17.1.3+** 或 **17.2.1+** 版本。

⚠️ **临时规避**： - 限制 Repositories 模块的 **上传权限**。 - 对用户输入的文件名进行 **严格的白名单过滤**。 - 启用 **Content Security Policy (CSP)** 限制脚本执行。

🚀 **优先级**：**高**。 - **CVSS**：H (高危)。 - **建议**：立即升级版本。存储型 XSS 危害持久，一旦触发影响广泛。