关键漏洞信息 漏洞类型: 存储型跨站脚本（XSS） 受影响版本: <= 3.6.1 修复版本: 3.6.2 漏洞描述: 在 WeGIA 应用程序的 终端中发现存储型跨站脚本（XSS）漏洞。应用程序在渲染“Atendido”选择下拉菜单内的用户控制数据之前未对其进行清理。 漏洞详情: 应用程序从数据库中检索“Atendido”名称，并直接将其注入HTML元素中，而未进行适当的转义。例如，下方代码说明了应用程序将原始数据库内容输出到DOM中，允许任意JavaScript执行： 概念验证 (PoC): 1. 以具有创建或编辑Atendidos权限的用户身份登录。 2. 在“Name”字段（或之后显示在“Atendido”下拉菜单中的任何字段）中插入以下有效负载： 3. 保存“Atendido”。 4. 导航到： 5. 当页面加载时，有效负载会在下拉菜单内立即执行。 影响: 允许攻击者在受害者的浏览器中执行任意JavaScript，可能导致会话劫持、账户接管或未经授权代表用户执行操作。 CVE编号: CVE-2026-23724 严重性评分: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N，评分为4.3/10，属于中等程度。