ApostropheCMS 存储型 XSS 漏洞通告

GitHub 安全公告库发布 GHSA-7jg5-frgc-c67w，指出 ApostropheCMS 存在存储型 XSS 漏洞。当项目为 widget 定义带 CSS property、但没有 selector 的自由格式 string 样式字段时，编辑器可控的值会被拼成内联 CSS 声明，并在未做 HTML 属性转义的情况下写入 widget 包装器的 style 属性。 公告称，能编辑该 widget 的攻击者可在样式值中加入双引号，提前结束 style 属性，并注入新的 HTML 事件处理属性；载荷随 widget 存储，受影响页面每次渲染时都会在 Apostrophe 站点源下执行。 该漏洞仅影响符合上述样式字段配置的项目，公告未说明修复版本或缓解措施。

AI 根据报道生成 · 1 天前更新

还没有足够的连续观测数据，暂不绘制趋势。