关键信息 漏洞概述 漏洞类型: 存储型跨站脚本（Stored XSS） 受影响系统: CodeAstro 在线医疗患者记录管理系统 影响部分: 报告生成中的“患者姓名”字段 关键细节 概念验证 (PoC) 1. 登录应用 - 访问登录门户: - 使用有效凭证登录 2. 在患者姓名字段中注入XSS载荷 - 转到生成记录页面 - 在“患者姓名”和“印象”输入字段中插入以下载荷: - 点击提交 3. 触发载荷 - 查看提交的报告，将触发JavaScript 。 - 任何查看报告的员工或管理员也会执行该载荷。 潜在影响 会话劫持：窃取会话cookie以进行未经授权的访问。 钓鱼：显示虚假表单以收集用户凭据。 网页篡改：修改网页外观或显示虚假内容。 数据泄露：通过后台HTTP请求窃取敏感数据。 恶意软件传播：将用户重定向到恶意外部网站。 权限提升：利用存储的脚本获得未经授权的访问。 缓解策略 输入清理 - 在服务器端清理用户输入: 其他信息 报告日期: 2025年6月18日 严重性: 高