漏洞概述 漏洞名称: CVE-2026-36748: XSS in Rock RMS Leads to Privilege Escalation 漏洞类型: 跨站脚本（XSS） 严重程度: 高 CVSS评分: 9.0 (High) 发布日期: 2026年6月1日 影响产品: Rock RMS by SparkDevNetwork 受影响版本: 16.13, 17.7 及可能更新的未公开版本 影响范围 漏洞描述: 该跨站脚本漏洞影响Rock RMS的社交链接功能，当启用时，用户个人资料页面中的社交链接字段未进行服务器端过滤。 利用条件: 需要管理员查看恶意用户个人资料页面以触发XSS载荷并提升权限。 潜在风险: 攻击者可以通过构造恶意XSS载荷，在管理员浏览器会话中执行任意JavaScript代码，从而提升权限。 修复方案 临时措施: 禁用用户个人资料中的社交链接功能，以消除攻击面。 具体步骤: 浏览到 Admin > Settings > General > Person Attributes，取消选中每个社交媒体类型的“Active”复选框。 概念验证（POC）代码