Sploitus 利用聚合·· 4 小时前AI 评分58
Instatic v0.0.13 存储型 XSS CVE-2026-103931 的 PoC 与修复补丁
Instatic-Stored-XSS-CVE-2026-103931 exploit
AI 导读
公开的 PoC 显示 Instatic v0.0.13（commit 63ad5d6）的 isSafeUrl() 存在 URL scheme 过滤绕过，在 javascript: 前加 U+0001 等前导 C0 控制字符即可让校验返回 true，浏览器仍按 javascript: 解析执行，属 CWE-79 存储型 XSS。
来源：Sploitus 利用聚合 · sploitus.com