Instatic 存储型 XSS 漏洞 PoC 公开

研究人员 overgrowncarrot1 公开了 Instatic v0.0.13（commit 63ad5d6）存储型 XSS 漏洞（CVE-2026-103931）的 PoC 和修复补丁。PoC 显示，在 javascript: 前加入 U+0001 等前导 C0 控制字符，可绕过 isSafeUrl() 的 URL scheme 过滤，使校验返回 true，而浏览器仍按 javascript: 解析执行。 该漏洞影响 v0.0.13 及所有包含 src/core/html-sanitize/index.ts 的早期版本。内置 Client 角色拥有 site.content.edit 权限，足以设置链接 href 或自定义 HTML 属性；在未设置 script-src 的后台管理源上，javascript: URL 可被执行。在已发布站点上，cspPlan.ts 设置 script-src 'none' 或 'self'，会阻止 javascript: URL，影响范围较窄。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。