关键信息 漏洞概述 漏洞类型: HTML注入和XSS过滤绕过 受影响版本: <2.0.30 修复版本: 2.0.31 严重性: 低 CVE ID: CVE-2023-62956 弱点类型: CWE-79 描述 Mailgen生成的纯文本电子邮件中存在HTML注入漏洞。如果你使用 方法并传递用户生成的内容，你的项目将受到影响。 细节 函数旨在剥离所有HTML内容以生成纯文本字符串。该过程失败是因为它搜索HTML标签并尝试从输入中删除它们。然而，如果HTML标签被编码，它们不会被移除。这些编码后的标签在稍后解码时会变成有效的HTML内容，从而导致XSS漏洞。 PoC (概念验证) 影响 如果纯文本消息使用的上下文中渲染和执行了HTML，可能会导致受害者的浏览器中任意代码执行（可能窃取秘密或敏感信息）。 报告者 Edoardo Ottavianelli (@edoardottt)