一、 漏洞 CVE-2026-1010 基础信息
漏洞信息
# Altium Workflow Engine 跨站脚本漏洞
## 概述
Altium Workflow Engine 存在一个存储型跨站脚本（XSS）漏洞，由于工作流表单提交的API缺乏服务器端输入消毒，导致经过身份验证的普通用户可在工作流数据中注入任意JavaScript代码。
## 影响版本
未明确指定具体版本，但漏洞存在于受影响的 Altium Workflow Engine 版本中。
## 细节
漏洞源于工作流表单提交接口未对用户输入进行充分的服务器端清理。攻击者可利用该缺陷，将恶意JavaScript代码注入到工作流数据中。当管理员后续查看该工作流时，恶意脚本在其浏览器上下文中执行。
## 影响
成功利用该漏洞可导致权限提升。攻击者可执行任意JavaScript代码，包括创建新的管理员账户、窃取会话令牌以及代执行管理员权限操作。
神龙判断
是否为 Web 类漏洞： 未知
判断理由：
N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Stored Cross-Site Scripting in Altium Enterprise Server Workflow Engine Allows Privilege Escalation
来源：美国国家漏洞数据库 NVD
漏洞描述信息
A stored cross-site scripting (XSS) vulnerability exists in the Altium Workflow Engine due to missing server-side input sanitization in workflow form submission APIs. A regular authenticated user can inject arbitrary JavaScript into workflow data. When an administrator views the affected workflow, the injected payload executes in the administrator’s browser context, allowing privilege escalation, including creation of new administrator accounts, session token theft, and execution of administrative actions.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
来源：美国国家漏洞数据库 NVD
漏洞类别
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源：美国国家漏洞数据库 NVD
二、漏洞 CVE-2026-1010 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
三、漏洞 CVE-2026-1010 的情报信息
标题： Security Advisories | Altium -- 🔗来源链接
标签：
神龙速读：### 关键漏洞信息 #### 存储型跨站脚本（XSS） - **Altium Live用户配置文件字段** - Altium 365的用户配置文件文本字段中存在的存储型跨站脚本（XSS）漏洞。 - **Altium Live论坛** - Altium论坛由于缺少服务器端输入验证在论坛帖子内容中存在的存储型跨站脚本（XSS）漏洞。 - **Altium 365论坛** - Altium论坛由于缺少服务器端输入验证在论坛帖子内容中存在的存储型跨站脚本（XSS）漏洞。 - **Altium Enterprise Server工作流程引擎** - Altium工作流引擎在工作流表单提交API中由于缺少服务器端输入验证存在的存储型跨站脚本（XSS）漏洞。 - **Altium Live支持中心** - Altium支持中心AddComment端点由于缺少服务器端输入验证存在的存储型跨站脚本（XSS）漏洞。 #### 其它漏洞 - **自我签名证书验证缺失 - AD** - Altium 24.9.0不验证自我签名服务器证书，包括云连接。 - **BOM查看器中的XSS - AES** - AES7.0.3中的BOM查看器没有清理所有字段。 - **SQL注入 - AES** - 一个未激活的配置允许SQL注入通过不激活SQL解析逻辑的最新实现来发生。 - **HTML注入 - AES** - Altium Enterprise Server易受到HTML注入攻击，允许执行任意的JavaScript。
- https://nvd.nist.gov/vuln/detail/CVE-2026-1010
四、漏洞 CVE-2026-1010 的评论
暂无评论