关键信息总结 漏洞描述 类型: 存储型XSS（Stored Cross-Site Scripting） 位置: 数据准备模块（Data Preparation module） 触发条件: 通过上传包含恶意JavaScript的SVG文件，攻击者可以在受害者的浏览器中执行代码。 漏洞细节 应用漏洞: 应用允许在“数据准备”功能中上传 文件，并且没有对内容进行净化。 攻击向量: 通过提供的端点访问上传的文件时，脚本会在受害者的浏览器上下文中执行。 复现步骤 1. 访问 或 项目。 2. 进入数据准备部分。 3. 上传一个包含 的SVG文件。 4. 通过生成的文件端点访问上传的文件。 5. 观察JavaScript执行并在弹出窗口中查看 或其他注入的逻辑。 预期行为与实际影响 预期: 上传的SVG文件应被净化或限制上传SVG文件，不得执行其中的JavaScript。 实际: 恶意JavaScript在访问上传文件时被执行，可能导致会话劫持、强迫用户行为、钓鱼或数据外泄等。 CVSS评分与严重性评估 CVSS V3.1评分: 9.6（严重） 分类: 存储型XSS 严重性: 中等（Medium），尽管攻击者可以远程执行JavaScript，但仅限于项目范围内的用户，不会直接影响到后台管理或敏感操作。 奖励和回应 报告者因提交详细报告获得$200现金和500个AIX Block代币及分成。 开发者确认了漏洞，并感谢报告者的发现，建议未来继续提交高影响力和独特的报告。