CVE-2026-115640— LimeSurvey 7.7.0 参与者黑名单存储型 XSS 漏洞
一分钟漏洞结论
影响对象
LimeSurvey LimeSurvey Community Edition
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
LimeSurvey 社区版 7.7.0 在中央参与者数据库（Central Participants Database, CPDB）的黑名单控制功能中存在存储型跨站脚本（Stored XSS）漏洞。仅拥有全局 权限的已认证用户，可以导入包含 HTML 内容的 CSV 文件，其中 字段被注入恶意代码。该导入流程未对模型数据进行验证，直接持久化了该值。当 CPDB 编辑者打开参与者列表时，LimeSurvey 会从 字段提取数据，用于生成 的 和 属性，且未进行 HTML 编码，导致攻击者控制的标记在受害者的已认证
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-115640 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
LimeSurvey Community Edition 7.7.0 - Stored XSS in Central Participants blocklist control
来源: CVE Program / CVE List V5
Vulnerability Description
LimeSurvey Community Edition 7.7.0 contains a stored cross-site scripting vulnerability in the Central Participants Database blocklist control. An authenticated user with only global participantpanel:import permission can import a CSV participant_id containing HTML. The import flow persists that value without model validation. When a CPDB editor opens the participant list, LimeSurvey derives ButtonGroupWidget id and name attributes from participant_id and inserts them without HTML encoding, causing attacker-controlled markup to execute in the victim's authenticated LimeSurvey origin. Exploitation can access session-exposed data and issue same-origin requests with the victim's effective permissions.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:P/VC:H/VI:H/VA:N/SC:L/SI:L/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| LimeSurvey | LimeSurvey Community Edition | 3.0.0 ~ 7.7.0 | - |
|
二、漏洞 CVE-2026-115640 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-115640 的情报信息
请登录查看更多情报信息。
CVE-2026-115640 其他参考 (3)
-
https://fluidattacks.com/es/advisories/angel third-party-advisory