关键信息 漏洞类型 Stored Cross-Site Scripting (XSS) 漏洞位置 Vulnerable Endpoint: Parameter: Trigger Page: 漏洞详情 应用程序未能正确验证和清理用户在 参数中的输入，导致攻击者可以注入恶意脚本并存储在服务器上。当受影响页面被访问时，恶意脚本会在受害者的浏览器中自动执行。 PoC (概念验证) 1. 访问易受攻击的端点并选择第一个字段中的默认选项。 2. 在第二个字段（“Nome Tipo”）中插入payload： . 3. 点击“Salvar”，触发页面将自动激活。 影响 窃取会话cookie：攻击者可以使用窃取的会话cookie劫持用户的会话并代表他们执行操作。 下载恶意软件：攻击者可以诱骗用户下载和安装恶意软件到他们的计算机上。 劫持浏览器：攻击者可以劫持用户的浏览器或提供基于浏览器的漏洞利用程序。 窃取凭据：攻击者可以窃取用户的凭据。 获取敏感信息：攻击者可以获得存储在用户帐户或浏览器中的敏感信息。 破坏网站：攻击者可以通过更改内容来破坏网站。 误导用户：攻击者可以改变给访问目标网站的用户的指示，误导他们的行为。 损害企业声誉：攻击者可以通过破坏公司网站来损害企业的形象或传播错误信息。