关键信息总结 漏洞类型 Stored XSS: 存储型跨站脚本攻击 Reflected XSS: 反射型跨站脚本攻击 影响位置 1. Collections, Wishlists, and Albums: 在创建或编辑集合、愿望清单和相册时，存在存储型XSS漏洞。 2. Text Field: 文本字段在适当处理输入之前是易受攻击的。 示例Payload 影响范围 Author Access Only: 一些XSS位置只能由作者访问，例如添加新愿望或照片/相册时触发的反射型XSS。 影响与风险 Account Takeover: 账户接管通常通过XSS cookie窃取实现，但由于session.cookie具有HttpOnly属性，此风险被缓解。 Phishing Attack: 可能导致重定向到钓鱼网站，通过存储型XSS使用window.location payload。 解决方案 Input Filtering: 在输入到达时进行过滤。 Output Encoding: 在输出数据时进行编码。 Reference: OWASP Cross-Site Scripting Prevention Cheat Sheet 状态更新 Fixed in Version 1.6.11: 已修复并发布新版本。 Closed Issue: 问题已关闭并确认修复。