关键漏洞信息 受影响产品 Hostel Management System V1.0 漏洞类型 反射型跨站脚本（Reflected XSS） 漏洞文件 /justines/index.php 影响版本 V1.0 问题描述 在Hostel Management System的/justines/index.php文件中发现了一个反射型XSS漏洞。该漏洞是由于用户提交的“from”参数中的恶意代码未经过任何转义或过滤直接渲染为HTML内容，导致攻击者可以在受害者的浏览器中执行任意JavaScript代码。 根因 用户提供的输入在未进行适当转义或过滤的情况下直接渲染为HTML内容。 影响 攻击者可以： - 在受害者的浏览器中执行任意JavaScript代码。 - 窃取Cookie或会话令牌。 - 通过XSS钓鱼窃取CSRF-like令牌。 - 如果受害者查看注入的内容，则可能被欺骗。 - 泄露敏感数据或将用户重定向到恶意网站。 漏洞细节和POC 漏洞参数： Payload: 建议修复措施 1. 输出编码（服务器端修复 - 必须） 2. 输入验证 3. 应用内容安全策略（CSP） 4. 使用Sanitizer