CVE-2026-90527
ŚrednieCVSS 4.3Streszczenie
W systemie quequnlong shiyi-blog do wersji 1.2.1 wykryto podatność typu cross site scripting w pliku blog-admin/src/views/message/message/index.vue w komponencie Add Message API. Manipulacja argumentem body.content prowadzi do wykonania złośliwego skryptu. Atak można przeprowadzić zdalnie, a projekt został poinformowany o problemie, ale nie odpowiedział.
Ocena ryzyka
Atakujący może zdalnie wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce użytkownika, co może prowadzić do kradzieży sesji lub danych.
Rekomendacja
Zastosuj odpowiednie kodowanie danych wyjściowych i walidację danych wejściowych dla argumentu body.content oraz monitoruj projekt w celu uzyskania poprawki.
Inne podatności w shiyi-blog
Zobacz wszystkie- CVE-2026-90567Niskie
W quequnlong shiyi-blog do wersji 1.2.1 wykryto lukę w funkcji highlightKeyword w pliku blog-web/src/components/Search/index.vue komponentu Search. Manipulacja argumentami title/summary prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Projekt został poinformowany o problemie.
- CVE-2026-90564Niskie
W quequnlong shiyi-blog (wersje 1.0.0–1.2.1) zidentyfikowano podatność w funkcji SysChatMsgMapper.getChatMsgList w pliku blog-web/src/views/chat/index.vue komponentu chat sendMsg Endpoint. Manipulacja argumentem chat_msg prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Projekt został poinformowany o problemie, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in quequnlong shiyi-blog up to 1.2.1. Affected is an unknown function of the file blog-admin/src/views/message/message/index.vue of the component Add Message API. The manipulation of the argument body.content results in cross site scripting. The attack can be executed remotely. The project was informed of the problem early through an issue report but has not responded yet.