漏洞关键信息 漏洞详情 测试环境: FAQ Management System Using PHP and MySQL 1.0 受影响版本: FAQ Management System Using PHP and MySQL 1.0 受影响页面: /faq-management-system/endpoint/update-faq.php 问题代码: 应用程序在更新FAQ内容时未能对用户输入进行清理，导致存储型XSS漏洞。 相关CWE CWE-79: 不当中和输入到Web页面生成中的（跨站脚本） 细节 此漏洞允许攻击者在更新FAQ条目时将不可信的JavaScript代码注入question和answer字段。由于缺乏输出编码或输入清理，恶意脚本被保存到数据库并在其他用户加载页面时执行。 使用的Payload HTTP请求示例 漏洞影响 窃取其他用户的会话cookie或令牌 在受害者上下文中运行任意JavaScript代码 通过模仿站点内容进行钓鱼攻击 修改DOM以显示虚假信息 浏览器利用或重定向到恶意网站 POC 提供了多个截图作为概念验证。