关键信息 漏洞概述 漏洞类型: XSS (跨站脚本攻击) 受影响版本: <= 2.8.1 修复版本: 无 严重性: 中等 CVE ID: CVE-2025-53631 弱点: CWE-80 描述 摘要: 在提交POST请求到 时， 的不当清理导致任意JavaScript执行（XSS）在包含 , , , 和 的所有页面上反射。 细节 模板第22行和 模板第27行包含 ( )，这意味着HTML符号不会被转义。 提交 表单时， 变量在客户端进行清理（例如， 被转义为 ），但可以通过拦截请求并替换未转义的JavaScript代码来修改 。 服务器端读取 （在 第42行）并在数据库中存储，没有任何清理。 PoC 1. 以用户身份登录。 2. 使用 创建帖子，但拦截POST请求。 3. 修改 表单数据参数以包含 。 4. 浏览任何包含该帖子的页面（ , , , 或 ），观察JavaScript弹出窗口。 影响 攻击者可以在查看包含该帖子的页面的任何用户的浏览器中执行JavaScript。在某些情况下，这可能用于窃取敏感用户数据或破坏网站。