关键漏洞信息 漏洞类型 XSS (Stored XSS) 影响版本 <= 3.4.2 修复版本 3.4.3 描述 在 页面中发现了一个XSS注入漏洞。提交备忘录后，通过访问旧备忘录列表页面 确认了该漏洞。加载此页面时，注入的脚本在浏览器中执行，表现为一个警告弹窗。 细节 XSS payload 被插入到创建新备忘录时的文本字段中。 PoC 1. 访问备忘录创建页面： 2. 注入XSS Payload：在创建新备忘录提供的文本字段中插入以下XSS payload： 提交备忘录。 3. 触发XSS执行：导航到备忘录列表页面 。加载页面时，将弹出一个JavaScript警告框，显示消息 "XSS"，确认注入脚本的执行。 影响 这是一个严重的存储型跨站脚本（XSS）漏洞（CWE-79）。存储型XSS特别严重，因为恶意payload被永久保存在应用程序的数据库中，并在任何访问受影响页面的用户的浏览器中自动执行，无需任何直接交互（如点击恶意链接）。 CVSS评分 6.4 / 10 CVE ID: CVE-2025-5356 Weaknesses: CWE-79