漏洞概述 项目名称: OpenStatus 漏洞类型: DOM-Based Cross-Site Scripting (XSS) 严重性: High (CVSS 3.1 Base Score: 8.8) 报告日期: 2026年3月14日 描述: 在OpenStatus的onboarding endpoint发现了一个DOM-based XSS漏洞。应用程序错误地信任了一个名为 的URL参数，该参数被传递给 。攻击者可以构造一个恶意链接，当经过身份验证的用户打开时，会执行客户端重定向并在浏览器上下文中执行任意JavaScript。这可能导致凭证窃取、内部网络横向移动以及未经授权的行动。 影响范围 受影响组件: 1. (Line 137) 2. 漏洞代码: 原因: 参数取自浏览器URL查询，随后传递给 ，而没有针对 协议进行验证。 会将其参数传递给 ，已知会解析并执行 URL。 潜在影响: 任意操作: 脚本可以使用受害者的活动会话进行API请求、创建、修改或删除项目。 凭证窃取: 脚本可以在合法站点上下文中显示虚假登录提示以捕获用户凭据。 内部网络横向移动: 如果受害者在内部网络中，XSS可用作立足点，针对受害者浏览器中的其他内部系统进行攻击。 修复方案 应用程序应在重定向之前验证和清理 变量。 1. 验证重定向路径: 确保路径在同一源内并使用安全协议（http/https）。 2. 在导航前应用验证: 如果 通过验证，则可以安全使用；否则，回退到默认安全路径。 修复代码示例: POC (Proof of Concept) 攻击者构造恶意URL： 受害者操作：经过身份验证的受害者点击链接，触发XSS。