漏洞概述 漏洞名称: Stored XSS in Preview 漏洞类型: 存储型跨站脚本攻击（Stored XSS） 漏洞描述: 在Gogs平台中， 文件预览功能存在安全漏洞。当用户查看包含恶意JavaScript链接的 文件时，该脚本会在客户端执行，导致存储型XSS攻击。 影响范围 受影响版本: 修复版本: CVSS评分: 8.9 / 10 攻击向量: 网络 攻击复杂度: 低 所需权限: 低 用户交互: 需要 范围: 改变 机密性: 高 完整性: 高 可用性: 低 修复方案 修复版本: 升级到 或更高版本。 临时措施: 在 中添加以下CSP头： POC代码 最小权限要求 攻击者: 能够以普通（非管理员）用户身份放置 文件。 受害者: 需要查看该仓库的权限（点击是必需的）。 影响 未经授权的操作可能以受害者的账户权限执行（例如，仓库设置更改、问题操作等）。 可访问受害者的信息（如仓库/问题/维基内容、页面上下文中暴露的令牌）。 如果受害者是管理员，影响可能扩展到实例范围的配置更改和用户管理。