关键信息 漏洞概述 类型: 存储型跨站脚本（XSS） 受影响版本: <= 3.6.1 修复版本: 3.6.2 CVE ID: CVE-2026-23725 严重性 等级: 中等 CVSS v3 base metrics: 4.3/10 向量: 网络 复杂度: 低 权限: 低 用户交互: 无 范围: 未更改 机密性: 低 完整性: 无 可用性: 无 漏洞详情 概要: - 存储型跨站脚本（XSS）漏洞在WeGIA应用的 和 端点中被发现。 - 应用程序在将用户控制的输入呈现到 Adopters Information 表中之前不会对其进行清理，从而允许持久的 JavaScript 注入。任何访问该页面的用户都会自动执行payload。 漏洞组件 易受攻击的组件: 列出采纳者记录的数据表。来自数据库的特别是"Nome"（名称）字段的数据直接注入DOM内部的 元素。 概念验证（PoC） 1. 以具有创建或编辑 Adoptantes（采纳者）权限的用户身份登录。 2. 在“Nome”字段中插入以下payload: 3. 保存采纳者表单。 4. 导航到: 5. JavaScript payload将在页面加载时立即执行。 影响 允许攻击者在受害者的浏览器中执行任意JavaScript，这可能导致会话劫持、账户接管或未经授权以用户身份执行操作。