漏洞关键信息 漏洞标题: rethinkdb V2.4.3 (latest) cross-site scripting (XSS) 受影响版本: V2.4.3 (latest) 发现时间: 2026-01-14 发现者: 59LAB (59lab@mchz.com.cn) 漏洞描述: 在rethinkdb数据库中存在一个跨站脚本(XSS)漏洞。 POC: - Create a new secondary index - payload将在成功创建后不会被触发。在一行中点击三次删除按钮后，可以看到JavaScript代码成功执行。 修复建议: - 为了缓解此漏洞，建议采用纵深防御策略，结合适当的输出编码和更严格的安全策略执行：严格输出编码所有从SQL查询结果返回并在Web界面中呈现的数据。数据应根据其输出上下文正确地进行HTML编码。特殊字符如 , ", 和 ’ 需要安全地转义以防止用户控制的输入被解释为HTML标记。限制危险的URI方案：应用程序应显式地阻止或清理危险的URI方案，如data、javascript和blob，当在HTML属性或标签（如果、iframe、img、object和embed）内呈现内容时。仅允许受信任的方案如https是强烈推荐的。强化内容安全策略(CSP): 现有的内容安全策略应该被加强以阻止执行来自非信任源的脚本。特别是: 离散数据: URIs在frame-src, child-src, object-src和worker-src源列表指令中被严格的阻止。