openPetra v2023.02 的 CVE-2024-40509 XSS 漏洞利用

CVE-2024-40509 是 openPetra v2023.02 中 serverMFinDev.asmx 函数的 XSS 漏洞，无需认证的用户可通过 tab 参数注入 payload，窃取已认证用户的 cookie。PoC 通过构造 `tab: x" onmouseover=alert(document.cookie) x="` 并在左侧索引项上悬停触发，已在 Linux 上验证。