漏洞概述 漏洞原理： 第18行直接从请求中读取 参数，第34行将其直接输出到HTML input元素的value属性中，未使用 进行编码，导致攻击者可注入任意HTML/JavaScript代码。 --- 影响范围 受影响软件：WWBN/AVideo 受影响版本：<= 26.0 已修复版本：无 攻击条件： 需要管理员认证（但该页面为管理员页面） 利用AVideo的 Cookie配置，可实现跨域攻击 攻击复杂度：低 潜在危害：窃取管理员session、创建新管理员账户、修改站点配置、上传恶意插件、执行其他管理员操作。 --- 修复方案 建议修复：在 对 变量应用 ： --- POC代码 1. 基础攻击URL 2. URL编码版本（用于嵌入链接） 3. 跨域利用页面（利用SameSite=None）