GitHub 安全公告库 (GHSA)·· 2 天前精选AI 评分58
ApostropheCMS 4.x 客户端原型污染致 DOM XSS，公开复现步骤
ApostropheCMS: Client-side Prototype Pollution in apos.http.parseQuery leading to DOM-based XSS against authenticated users
AI 导读
ApostropheCMS 的 apos.http.parseQuery() 未过滤 __proto__、constructor、prototype 键，管理界面在每次已登录页面加载时用 window.location.search 调用该函数。
为什么值得看
披露给出可复现的 URL 载荷与 sink 调用栈，并区分了 ApostropheCMS 自身缺陷与 Vue 框架通用 gadget。
来源：GitHub 安全公告库 (GHSA) · github.com