漏洞总结：CVE-2026-42794 漏洞概述 漏洞名称：GraphiQL js_escape 中的反斜杠绕过导致的反射型 XSS CVE 编号：CVE-2026-42794 CVSS 评分：2.3 (Low) 漏洞类型：CWE-79 (跨站脚本攻击) 描述：在 和 中， 函数在转义单引号和换行符时，未转义反斜杠。攻击者可以通过在查询 GET 参数中前缀添加反斜杠（如 ）来逃逸字符串上下文，从而在受害者浏览器中执行任意 JavaScript 代码。 影响范围 受影响模块： 受影响文件： 受影响版本： 1.2.0 及以上版本 20241017cb 及以上版本 配置要求：应用程序必须在可由不受信任用户访问的路由上挂载 。 修复方案 状态：已修复 修复版本： : An attacker can bypass the escaping by prefixing a quote with a backslash (e.g. ), breaking out of the string context and executing arbitrary JavaScript code in the victim's browser. 即，在 GraphQL 查询的 GET 参数中，通过在前缀添加反斜杠来绕过转义，例如： （具体 payload 需根据实际 GraphQL 查询结构构造）