漏洞关键信息 漏洞概述 漏洞类型：Stored Cross-Site Scripting (XSS) 严重性：中等 (6.1 / 10) CVE ID：CVE-2026-28280 CVSS v3 Base Metrics： - 攻击向量：网络 - 攻击复杂度：低 - 所需权限：高 - 用户交互：需要 - 影响范围：未改变 - 机密性：高 - 完整性：高 - 可用性：无 影响范围 受影响版本： 已修复版本： 包： (Go) 漏洞描述 摘要： 存在一个存储型跨站脚本 (XSS) 漏洞，在 的按需查询列表中。具有查询级别的用户可以利用 参数注入任意 JavaScript，当运行按需查询时执行。注入的脚本被存储并在查看查询列表页面的所有用户（包括管理员）的浏览器中执行。此漏洞可以与 CSRF 令牌提取结合利用以提升权限并作为登录用户执行操作。 影响： 具有查询级别权限的攻击者（最低权限等级）可以在访问查询列表的所有用户的浏览器中执行任意 JavaScript。根据用户的访问级别，如果管理员执行了该有效载荷，这可能会导致整个平台被攻击者控制。 修复与缓解措施 修复： 该漏洞在 中已修复。用户应立即升级。 临时缓解措施： 将查询级别权限限制给可信用户。监控查询列表以检查可疑的有效载荷。审核 用户账户是否存在未经授权的管理员。 参考资料 GitHub Issue #778 CWE-79 致谢 发现者： - Kwangyun Keum (@Kwangyun) - Sho Lu (@sho-luv) - Leo Johnson