关键信息 漏洞详情 类型: 存储型XSS 位置: 通过评论网站字段 CVE ID: CVE-2026-27469 漏洞编号: GHSA-9fww-8cpr-q66r 发布者: jelmer 发布时间: 10小时前 影响 受影响版本: <0.13.2 修复版本: 0.13.2 严重性: 中等（CVSS v3 评分: 6.1 / 10） 详细描述 攻击向量: 网络 解码问题: 网站字段使用 进行HTML转义，导致单引号和双引号未被转义。 攻击点: 网站字段的值被前端直接插入到单引号包裹的 属性中，单引号的存在可以使攻击者注入任意事件处理器（如 , ）。 修复措施 补丁: 在提交 中修复。用户应升级到包含该提交的版本。 修正方法: 在三个写入路径（POST , PUT , POST ）中使用 对网站字段进行转义，并在审核编辑端点添加输入验证和转义。 缓解措施 启用评论审核（ 在 中）可以阻止未认证用户发布评论，提高利用难度。但审核者激活恶意评论时，仍可能暴露访问者。 引用 html.escape文档 — 注意 参数