关键信息总结 漏洞详情 漏洞类型: XSS漏洞 受影响产品: 二师兄/loasys 受影响版本: 2025.01.01之前 漏洞描述: - 客户端传递的 参数未经过任何过滤或判断，直接作为属性值添加到 中的 对象。 - 在 模板中， 路径直接拼接了用户输入的 参数值，且在整个过程中未进行编译或转义，导致XSS漏洞可通过 参数触发。 技术细节 1. 代码分析: - 文件中， 参数直接赋值给 对象的 方法。 - 对象在后续处理中未对 进行安全检查。 2. 模板渲染: - 模板中， 直接拼接用户输入，未进行转义或编译。 3. POC构造: - 登录系统并捕获数据包，通过构造特定URL触发XSS漏洞。 - 示例URL: 影响与风险 攻击者可通过构造恶意 参数，注入脚本代码，执行任意JavaScript代码，从而窃取用户敏感信息或进行其他恶意操作。