漏洞概述 Homarr 的 页面存在 DOM 型跨站脚本攻击 (XSS) 漏洞。应用程序错误地信任了传递给 和 的 URL 参数 。攻击者可构造恶意链接，当被认证用户打开时，执行客户端重定向并运行任意 JavaScript。 影响范围 受影响版本: = 1.57.0 受影响文件及代码: 1. (第 22 行) 2. (第 73 行) 漏洞代码片段: 利用代码 (POC): 攻击者构造的恶意 URL 如下： 修复方案 在用于重定向之前验证并清理 变量。以下是两种推荐的修复方法： 方案 1：仅允许绝对 URL 路径 此方法仅允许绝对 URL 路径（如 ），并防止开放重定向（如 ）。 方案 2：验证重定向路径是否在同一源内** 此方法允许 和 方案，但防止开放重定向。使用 构造函数解析路径。