支持本站 — 捐款将帮助我们持续运营

目标：1000 元，已筹：736 元

73.6%
立即捐款
一、 漏洞 CVE-2026-23497 基础信息
漏洞信息
                                        # Frappe LMS 存储型XSS漏洞

## 概述  
Frappe 学习管理系统（LMS）在版本 2.44.0 及之前存在存储型跨站脚本（XSS）漏洞。

## 影响版本  
2.44.0 及更早版本。

## 细节  
攻击者可通过上传带有恶意 JavaScript 的特制图片文件名，当该文件在课程或职位页面渲染时触发执行。

## 影响  
攻击者可在受害者浏览器中执行任意 JavaScript 代码，可能导致会话劫持、数据篡改或其他恶意行为。
神龙判断

是否为 Web 类漏洞： 未知

判断理由：

N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Frappe LMS has a Stored XSS via Unsanitized Image Filename in Course and Jobs Pages
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Frappe Learning Management System (LMS) is a learning system that helps users structure their content. In 2.44.0 and earlier, there is a stored XSS vulnerability where a specially crafted image filename could execute malicious JavaScript when rendered on course or jobs pages.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源：美国国家漏洞数据库 NVD
漏洞标题
Frappe Learning Management System 跨站脚本漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Frappe Learning Management System是Frappe开源的一个易于使用的开源学习管理系统。 Frappe Learning Management System 2.44.0及之前版本存在跨站脚本漏洞，该漏洞源于特制的图像文件名可能导致存储型跨站脚本攻击。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
跨站脚本
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2026-23497 的公开POC
#POC 描述源链接神龙链接
三、漏洞 CVE-2026-23497 的情报信息

  • 标题： Stored XSS via Unsanitized Image Filename in Course and Jobs Pages · Advisory · frappe/lms · GitHub -- 🔗来源链接

    标签：x_refsource_CONFIRM

    神龙速读：
                                            ### 漏洞关键信息

- **漏洞标题**：Stored XSS via Unsanitized Image Filename in Course and Jobs Pages
- **漏洞ID**：GHSA-78mq-3whw-69j5
- **CVE ID**：CVE-2026-23497
- **严重程度**：Low
- **受影响的版本**：2.0.0
- **已修复的版本**：2.45.0
- **漏洞描述**：
  - 存储型XSS漏洞，特殊构造的图像文件名在课程或工作页面上呈现时可以执行恶意JavaScript。
- **修复情况**：
  - 问题已解决，并将随2.45.0版本发布。
- **报告人**：Muhammad Saad Sabir
    Stored XSS via Unsanitized Image Filename in Course and Jobs Pages · Advisory · frappe/lms · GitHub

  • 标题： fix: sanitize image filename before saving for course and jobs · frappe/lms@e7ccf0a · GitHub -- 🔗来源链接

    标签：x_refsource_MISC

    神龙速读：
                                            ### 关键信息

1. **提交消息**
    - **漏洞修复**：修正了在保存课程和工作信息之前对图像文件名进行清理的漏洞。
    - **提交信息**：`fix: sanitize image filename before saving for course and jobs`

2. **文件变更**
    - **4个文件被修改**：
        - `frontend/src/components/Controls/Uploader.vue` : 33行新增，163行删减
        - `frontend/src/pages/BatchForm.vue` : 8行新增，9行删减
        - `frontend/src/pages/CourseForm.vue` : 14行新增，84行删减
        - `frontend/src/pages/JobForm.vue`

3. **代码变更**
    - 在多个vue文件中更新了文件上传的逻辑和组件调用，移除了对`FileUploader`的引用，替换成`@/components/Controls/Uploader.vue`
    - 文件上传组件优化，修正字符越界可能会产生的xss等漏洞。
    fix: sanitize image filename before saving for course and jobs · frappe/lms@e7ccf0a · GitHub
  • https://nvd.nist.gov/vuln/detail/CVE-2026-23497
四、漏洞 CVE-2026-23497 的评论
匿名用户
2026-01-15 06:08:15

Zaproxy alias impedit expedita quisquam pariatur exercitationem. Nemo rerum eveniet dolores rem quia dignissimos.

发表评论