关键信息 信息 软件类型: Web App 软件名称: Vvweb 受影响版本: 1.0.5 软件供应商: Vvweb 软件链接: https://github.com/gianaz/Vvweb 严重性: 高 CVSS评分: 8.8 CVE链接: 待定 受影响资产: 163+ 发现日期: 2025年1月3日 PoC利用: https://gist.github.com/OxHamy/b2674eefdfd1f73af96d29f152c47bcbd 描述 漏洞描述: 端点存在XSS漏洞。当在此处应用有效载荷时，它会使整个站点和通过 访问的每个端点都变得脆弱。 影响范围: 只要你是“站点管理员”、“管理员”或“超级管理员”，就可以利用此漏洞。 潜在危害: 一个精心设计的XSS有效载荷可以用来从多个站点管理员、编辑者、供应商和其他人那里窃取cookie。 复现步骤 1. 以具有“站点管理员”角色的用户身份登录，打开以下端点： 2. 在左上角，点击“添加类型”按钮。在这里你可以添加一个帖子类型，在 字段中，你可以输入类似以下的有效载荷： 3. 每当有人通过管理面板 登录时，此有效载荷将执行，它会执行用于静默窃取cookie的恶意JavaScript。 4. 要设置一个cookie窃取服务器，你可以将以下PHP脚本保存为 ：https://gist.github.com/OxHamy/b2674eefdfd1f73af96d29f152c47bcbd 5. 启动一个PHP服务器来提供它： 概念验证（PoC）视频 视频截图显示了漏洞复现的过程。