关键信息总结 漏洞类型：XSS（跨站脚本攻击） 漏洞描述： - 将用户提供的字符串直接赋值给 ，导致攻击者可以轻易地注入并执行任意JavaScript代码。例如，利用以下代码片段可以触发攻击： - 具体在CVAT中存在以下潜在攻击场景： 1. 配置骨架时加载来自现有标签的SVG图片。 2. 接受用户上传的SVG文件。 3. 绘制子标签名称时。 4. 绘制骨架形状时。 漏洞影响： - 攻击者能够保存带有恶意SVG图片的标签，并诱导受害者进行编辑、查看或创建形状。 - 攻击者能够创建并诱导受害者导入恶意SVG文件。 修复措施： - 通过以下方式修复漏洞： - 最小化直接解析HTML字符串的代码段。 - 解析HTML时使用DOMPurify库移除潜在的恶意内容。 - 使用 替代 渲染子标签名称。 - 在生成SVG文件时，使用节点克隆（node cloning）以消除潜在风险。 代码变更: - 修改了8个文件，新增67行代码，删除31行代码。 - 主要修复点： - 更新了 库(由 替换)。 - 提供了安全可靠的SVG字符串解析函数 ，并应用于多个点位。 - 设置了在标签结构、骨架绘制等逻辑中，使用 替代 。 --- 这个Markdown文档总结了从截图中获得的关键漏洞信息，包括风险点、影响方式和修复策略等。希望对你有帮助。