关键漏洞信息 漏洞概述 类型: 反射型跨站脚本（XSS） 发现日期: 2025-06-13 项目链接: https://github.com/java-sodeng/hope-boot 受影响版本: 1.0.0-release 受影响API: /login 代码路径: /src/main/java/com/hope/controller/WebController.java:83 漏洞细节 在hope-boot仓库中，/login端点存在XSS漏洞。用户提供的输入直接嵌入到HTML输出中，未进行适当的清理或转义，允许攻击者注入任意JavaScript代码。 测试环境设置 1. JDK 8 2. Maven构建项目: hope-boot-1.0.0-release/hope-sso-server 3. Redis启动命令: 复现步骤 访问/login?errorMsg=alert('XSS')，浏览器将执行此payload作为JavaScript。 代码分析 关键逻辑在WebController.java中处理： 该方法将外部输入 直接赋值给模型属性，并在login.ftl中直接嵌入输入字符串到HTML中，导致攻击者编写的代码被嵌入页面并在加载时执行。