关键信息 漏洞概述 漏洞类型: Cross-site Scripting (XSS) 受影响包: 版本: 无固定修复版本 漏洞详情 介绍日期: 2022年7月14日 CVE编号: CVE-2022-23891 SNYK编号: SNYK-JAVA-ORGWEBJARSBOWERGITHUBANGULAR-2949784 严重性评分: 4.2 (中等) 威胁情报 CVSS评估: Snyk Security Team CVSS分数: 4.2 (中等) CVSS向量: AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N 影响范围 受影响环境: - Web服务器 - 应用程序服务器 - Web应用程序环境 攻击类型 存储型XSS: 恶意代码插入应用并持久化，用户点击链接时激活。 反射型XSS: 攻击者定义恶意链接，用户访问时返回恶意脚本。 DOM-based XSS: 攻击者注入恶意代码，页面自身交付跨站脚本数据。 变异型XSS: 注入看似安全的代码，被浏览器重写和修改。 防护措施 输入验证: 在HTTP请求中对数据进行验证和过滤。 特殊字符转义: 转义特殊字符如 , , , , 等。 禁用客户端脚本: 使用选项禁用客户端脚本。 检测异常登录: 包括来自不同IP地址的登录，无效这些会话。 使用Content-Security-Policy: 禁用可能被利用的功能。 参考资料 OWASP