ApostropheCMS 颜色字段校验绕过致存储型 XSS

GitHub 安全公告库披露 ApostropheCMS 颜色字段存在存储型 XSS 漏洞（GHSA-vmgj-9cwm-cf3h）：由于 TinyColor.isValid 未在字符串末尾锚定匹配，颜色字段只校验字符串是否以合法的 rgb()/hsl() 颜色开头，拥有编辑权限的认证用户可在合法颜色前缀后存入任意 HTML，页面渲染时触发脚本执行。 公告称，任何拥有编辑权限的用户都可植入持久化 JavaScript，在访问受影响页面的访客和管理员浏览器中运行，从而劫持会话或以管理员身份操作。 公告建议的修复方式是拒绝整串不是合法颜色的值，例如在保存时归一化；该问题与 GHSA-97v6-998m-fp4g 同源，修复校验可同时关闭两者。

AI 根据报道生成 · 1 天前更新

还没有足够的连续观测数据，暂不绘制趋势。