关键漏洞信息 漏洞编号: CWE-79 漏洞名称: Stored XSS leading to data exfiltration & user impersonation 发表者: OotTheMonk 发表日期: 2天前 CVE ID: CVE-2026-25144 严重性: 中等 (5.3/10) 受影响的版本: < 09dd00e5452e3cd998eb140 已修复版本: 09dd00e5452e3cd998eb140, 6a88e5b0fa868e6b4, 5a88e5b0fa868e6b4 漏洞描述 概要 游戏内置聊天系统存在存储型XSS漏洞。 中的 参数未经清理直接存储并在用户访问当前页面时执行。 详情 漏洞来源于 第41行，应用将 直接注入到 HTML元素中。通过构造关闭属性和标签（ ）的payload，攻击者可注入任意HTML/JavaScript（如 或 ），允许篡改用户名以冒充任意用户。 PoC 注： 为空，测试中发现的另一缺陷，输入错误authKey被拦截，但空authKey正常通过。 影响 会话劫持: 窃取会话cookie控制账号。 数据泄露: 访问日志中的敏感信息。 冒充: 冒充其他用户或管理员执行操作。