CVE-2026-38949 总结 漏洞概述 漏洞名称：HTMLy v3.1.1 中的存储型跨站脚本（Stored XSS）漏洞，导致管理员账户接管。 漏洞类型：存储型跨站脚本（Stored XSS） 漏洞描述：在HTMLy v3.1.1版本中，通过图像发布功能的内容字段注入恶意JavaScript代码。由于输入验证不当，恶意代码被存储并在管理员查看恶意帖子时执行。攻击者可以从管理员密码更改页面获取CSRF令牌，并执行认证请求以修改管理员凭据（如密码）。 严重程度：8.9 High (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:L) CVE ID：CVE-2026-38949 受影响版本：HTMLy v3.1.1 CWE ID：CWE-79, CWE-352 影响范围 受影响产品：HTMLy v3.1.1 影响描述：攻击者可以在管理员的认证浏览器会话中执行JavaScript代码，绕过CSRF保护，动态检索有效令牌。这导致管理员密码修改、完整管理员账户接管、持久未授权访问以及应用程序的完全控制。 修复方案 修复建议： - 对输入进行严格的验证和过滤，防止恶意代码注入。 - 实施有效的CSRF保护机制，确保请求的合法性。 - 定期更新软件版本，修补已知漏洞。 POC代码 参考链接 GitHub Repository HTMLy Official Website