漏洞总结:Vveb CMS 未授权反射型跨站脚本漏洞 漏洞概述 Vveb CMS 的可视化编辑器预览渲染器未对未授权访问者进行身份验证。任何包含 参数的 HTTP POST 请求,其 参数会被直接注入到渲染的 HTML 响应中。由于 函数仅检查 查询参数的存在性,不验证会话、角色或令牌,攻击者可注入任意 HTML 和 JavaScript。 影响范围 受影响版本:Vveb CMS 1.0.8 (commit ) 严重程度:Critical (CVSS 9.6) 利用条件:无需认证,用户交互(点击链接或自动提交表单) 影响: - 会话劫持(窃取登录用户 Cookie) - 账户接管(作为 CHAIN-001 XSS 的入口点) - 钓鱼攻击(渲染任意内容) - 跨站请求伪造(以管理员身份执行操作) - 持久化后门(结合后台插件) 修复方案 1. 修补 函数:验证请求是否来自具有编辑器权限的已认证用户。 2. 清理 POST 参数:即使通过身份验证,预览渲染也应默认转义或剥离可执行 HTML(如使用 HTML Purifier)。 3. 添加强 Content-Security-Policy:设置 防止内联脚本执行。 4. 移除 头:该头提供虚假安全感且被现代浏览器忽略,应替换为真实 CSP。 POC 代码