关键信息总结 影响的产品 产品名称: Oracle WebCenter Content Management Module - Publishing Engine 版本: 12.2.1.3.0 漏洞类型: 存储型跨站脚本（Stored XSS） 漏洞概述 描述: 存储型跨站脚本（Stored XSS）是一种攻击，当用户提交的内容未经适当验证或编码即存储在服务器端，并在其他用户查看时重新呈现给浏览器时发生。在这种情况下，攻击者可以利用此漏洞注入恶意脚本，这些脚本会在受害者访问受影响页面时执行。 复现步骤 1. 访问Contact Us页面并填写表单。 2. 使用Burp Suite或其他浏览器开发者工具提交包含XSS有效载荷的表单。 3. 以管理员身份登录并导航到新的Unread Queries。 4. 查看新创建的查询，触发XSS。 示例XSS有效载荷 存储XSS的影响 攻击者可以在系统中某些部分执行任意JavaScript代码。 可能导致会话劫持和敏感数据泄露。 当管理员查看查询时，攻击者可以控制其浏览器。 可用于传播恶意软件或进行进一步的网络攻击。 推荐缓解措施 输入验证：确保所有输入在存储前经过验证和清理。 输出编码：在呈现内容之前对其进行适当的编码。 内容安全策略（CSP）：限制可执行的脚本来源。 HTTPOnly Cookie：防止通过JavaScript访问cookie。 导入验证器：使用如OWASP ESAPI等库来验证输入。 代码修复示例