漏洞信息
# Bagisto 存储型XSS漏洞
## 概述
Bagisto 是一个基于 Laravel 的开源电商平台，在其 2.3.10 版本之前存在一个存储型跨站脚本（XSS）漏洞，位于 CMS 页面编辑器中。
## 影响版本
Bagisto 2.3.10 之前的版本。
## 细节
该漏洞源于 CMS 页面编辑器对 `<script>` 标签的过滤机制存在缺陷。虽然平台尝试对脚本标签进行过滤，但攻击者可通过篡改 HTTP POST 请求的原始数据绕过过滤。恶意 JavaScript 代码可因此被持久化存储在 CMS 页面内容中。
## 影响
存储的恶意脚本在页面被访问或编辑时会执行，导致管理员账户面临高风险，包括账户完全接管、后端控制权丢失以及任意脚本执行。
神龙判断
是否为 Web 类漏洞： 未知
判断理由：
N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Bagisto has HTML Filter Bypass that Enables Stored XSS
漏洞描述信息
Bagisto is an open source laravel eCommerce platform. A stored Cross-Site Scripting (XSS) vulnerability exists in Bagisto prior to version 2.3.10 within the CMS page editor. Although the platform normally attempts to sanitize `<script>` tags, the filtering can be bypassed by manipulating the raw HTTP POST request before submission. As a result, arbitrary JavaScript can be stored in the CMS content and executed whenever the page is viewed or edited. This exposes administrators to a high-severity risk, including complete account takeover, backend hijacking, and malicious script execution. Version 2.3.10 fixes the issue.
CVSS信息
N/A
漏洞类别
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
漏洞标题
Bagisto 跨站脚本漏洞
漏洞描述信息
Bagisto是印度Webkul Software开源的一套开源的电子商务框架。 Bagisto 2.3.10之前版本存在跨站脚本漏洞，该漏洞源于CMS页面编辑器存在存储型跨站脚本，可能导致账户接管。
CVSS信息
N/A
漏洞类别
跨站脚本