CVE-2026-126495— MQTTX 1.13.3 存储型跨站脚本漏洞
一分钟漏洞结论
影响对象
emqx MQTTX
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
MQTTX 桌面版（1.13.3 及更早版本）存在存储型跨站脚本（XSS）漏洞。攻击者可通过发布恶意的 MQTT 主题名称或载荷，利用工具提示（tooltip）中未转义渲染的内容注入脚本。若攻击者能够控制 MQTT 代理（broker）或向受害者已订阅的主题发布消息，当受害者将鼠标悬停在“主题树”（Topic Tree）或"JSON 树”节点上时，即可在启用了 nodeIntegration 的 Electron 渲染进程中执行恶意脚本。
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-126495 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
MQTTX through 1.13.3 Stored XSS via Topic Tree and JSON Tree Tooltips
来源: CVE Program / CVE List V5
Vulnerability Description
MQTTX desktop through 1.13.3 contains a stored cross-site scripting vulnerability that allows attackers to inject script by publishing malicious MQTT topic names or payloads rendered unescaped in tooltips. Attackers controlling a broker or publishing to subscribed topics can execute script in the Electron renderer, which has nodeIntegration enabled, when victims hover Topic Tree or JSON tree nodes.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-126495 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-126495 的情报信息
请登录查看更多情报信息。
CVE-2026-126495 其他参考 (6)
-
https://github.com/emqx/MQTTX product
-
https://github.com/emqx/MQTTX/blob/v1.13.3/src/widgets/JSONViewer.vue#L175-L184 technical-description
-
https://github.com/emqx/MQTTX/blob/v1.13.3/src/widgets/TreeView.vue#L195-L226 technical-description
-
https://github.com/emqx/MQTTX/blob/v1.13.3/src/background.ts#L276-L283 technical-description
-
https://github.com/emqx/MQTTX/issues/2180 issue-tracking
IV. Related Vulnerabilities
Same product: MQTTX