CVE-2026-90564
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W quequnlong shiyi-blog (wersje 1.0.0–1.2.1) zidentyfikowano podatność w funkcji SysChatMsgMapper.getChatMsgList w pliku blog-web/src/views/chat/index.vue komponentu chat sendMsg Endpoint. Manipulacja argumentem chat_msg prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Projekt został poinformowany o problemie, ale nie odpowiedział.
Ocena ryzyka
Cross site scripting może pozwolić atakującemu na wykonanie złośliwego skryptu w przeglądarce użytkownika, kradzież sesji lub danych. Ryzyko dotyczy użytkowników czatu.
Rekomendacja
Należy wdrożyć walidację i kodowanie danych wejściowych dla argumentu chat_msg. Do czasu wydania poprawki zaleca się ograniczenie dostępu do funkcji czatu.
Inne podatności w shiyi-blog
Zobacz wszystkie- CVE-2026-90567Niskie
W quequnlong shiyi-blog do wersji 1.2.1 wykryto lukę w funkcji highlightKeyword w pliku blog-web/src/components/Search/index.vue komponentu Search. Manipulacja argumentami title/summary prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Projekt został poinformowany o problemie.
- CVE-2026-90527Średnie
W systemie quequnlong shiyi-blog do wersji 1.2.1 wykryto podatność typu cross site scripting w pliku blog-admin/src/views/message/message/index.vue w komponencie Add Message API. Manipulacja argumentem body.content prowadzi do wykonania złośliwego skryptu. Atak można przeprowadzić zdalnie, a projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2025-12305Średnie
W aplikacji quequnlong shiyi-blog do wersji 1.2.1 wykryto podatność deserializacji w nieznanej funkcji pliku SysJobController.java (komponent Job Handler). Możliwe jest zdalne wykorzystanie podatności, a publiczny exploit jest już dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in quequnlong shiyi-blog 1.0.0-1.2.1. This impacts the function SysChatMsgMapper.getChatMsgList of the file blog-web/src/views/chat/index.vue of the component chat sendMsg Endpoint. Such manipulation of the argument chat_msg leads to cross site scripting. The attack may be performed from remote. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS