关键漏洞信息 漏洞类型 存储型跨站脚本（Stored Cross-Site Scripting） 影响产品 Traffic Offense Reporting System V1.0 漏洞文件 /save-settings.php 版本 V1.0 根因 由于在/save-settings.php文件中对 和 参数的输入缺乏适当的清理或验证，导致直接将用户输入存储到数据库中。 影响 攻击者可以利用此漏洞进行各种攻击，如会话劫持、数据泄露、网站破坏、敏感信息暴露等，严重时可能导致系统完整性受损和组织信任丧失。 描述 在Traffic Offense Reporting System V1.0中，/save-settings.php文件存在存储型XSS漏洞。攻击者可以通过提交恶意JavaScript代码到 字段，并刷新页面来触发payload。这使得攻击者可以在用户的浏览器中执行任意JavaScript代码，从而控制用户的会话。 漏洞位置 Payload示例 源码追踪 在/save-settings.php文件中，直接将表单数据插入数据库，未进行额外的过滤或转义。 在布局文件 中，从数据库中检索站点名称并显示在前端，未应用任何格式化或安全措施。 漏洞重现 在/save-settings.php页面中，向表单的 字段提交以下payload，然后刷新页面以触发payload。 Payload: