一、 漏洞 CVE-2026-23880 基础信息
漏洞信息
# OnboardLite 跨站脚本漏洞导致管理员账号被接管
## 概述
OnboardLite 存在一个存储型跨站脚本（XSS）漏洞，当管理员在仪表板中尝试迁移用户的 Discord 账户时，恶意脚本可被触发执行。
## 影响版本
在提交 1d32081a66f21bcf41df1ecb672490b13f6e429f 之前的版本。
## 细节
该漏洞为存储型 XSS，攻击者可通过注入恶意脚本到 Discord 账户信息中，当管理员在后台执行账户迁移操作时，脚本在管理员上下文中执行，可能导致会话劫持或权限滥用。
## 影响
攻击者可利用该漏洞在管理员界面执行任意 JavaScript 代码，从而获取管理员权限或窃取敏感信息。
神龙判断
是否为 Web 类漏洞： 未知
判断理由：
N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
OnboardLite has stored Cross-site Scripting issue that may lead to admin Account Take Over
来源：美国国家漏洞数据库 NVD
漏洞描述信息
OnboardLite is a comprehensive membership lifecycle platform built for student organizations at the University of Central Florida. Versions of the software prior to commit 1d32081a66f21bcf41df1ecb672490b13f6e429f have a stored cross-site scripting vulnerability that can be rendered to an admin when they attempt to migrate a user's discord account in the dashboard. Commit 1d32081a66f21bcf41df1ecb672490b13f6e429f patches the issue.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
输入验证不恰当
来源：美国国家漏洞数据库 NVD
二、漏洞 CVE-2026-23880 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
三、漏洞 CVE-2026-23880 的情报信息
标题： Stored XSS leads to admin Account Take Over · Advisory · HackUCF/OnboardLite · GitHub -- 🔗来源链接
标签：x_refsource_CONFIRM
神龙速读：### 关键信息 - **漏洞类型**: Stored XSS - **影响**: 导致管理员账户被接管 - **严重性**: 高 - **CVSS v3 Base Score**: 7.3 - **CVE ID**: CVE-2026-23880 #### 影响版本与修复 - **受影响版本**: Before 136a61c221537208ed4d48512ff55dd844acb2cc - **修复版本**: After 1d32081a66f21bcf41df1ecb672490b13f6e429f #### 漏洞详情 - **描述**: 管理员在迁移用户Discord账户时，存在存储型XSS漏洞。 - **代码缺陷**: 在/admin/get_by_snowflake/?discord_id={my discord ID} 路由中，不安全地渲染用户的名字和姓氏，且是用于迁移Discord账户的端点。 - **攻击方法**: 通过设置含有XSS载荷的名字和姓氏，当管理员尝试迁移账户时，首次渲染的名字和姓氏会触发XSS。 #### 严重性指标 - **CVSS v3 Base Metrics** - Attack Vector: Network - Attack Complexity: Low - Privileges Required: Low - User Interaction: Required - Scope: Unchanged - Confidentiality: High - Integrity: High - Availability: None #### 弱点 - CWE-20 - CWE-79 - CWE-116 #### Impact - Underprivileged账户利用漏洞导致管理员账户被接管。
标题： Clean up innerHTML usage and patch admin stored XSS · HackUCF/OnboardLite@1d32081 · GitHub -- 🔗来源链接
标签：x_refsource_MISC
神龙速读：- **Commit Message** - 清理并修复了admin存储中使用的innerHTML，以修补存储的XSS漏洞。 - **受影响的文件** - app/static/admin.js - app/static/form.js - **关键变更** - **innerHTML使用**: 在之前使用了innerHTML，这可能会导致XSS漏洞，现在被修正。 - **安全性提升**: 代码重构为使用DOM方法和文本节点，避免了直接使用innerHTML，增强了安全性。 - **错误处理**: 添加了错误处理逻辑，改善了用户在加载失败时的提示体验。 - **提交人** - jontymys 提交，8小时前。 - **修改行数** - 总计214行增加，73行减少。 ``` 这部分信息是关于该项目重新提交了一个修复存储XSS漏洞的更新，主要修改了两个文件中的DOM操作，通过使用更安全的DOM方法替代了可能导致漏洞的innerHTML直接赋值，同时对所有从用户输入获取的数据使用了sanitization/sanitiseHTML，大大提升了网站安全性。
- https://nvd.nist.gov/vuln/detail/CVE-2026-23880
四、漏洞 CVE-2026-23880 的评论
暂无评论