CVE-2026-90567
NiskieCVSS 3.5Streszczenie
W quequnlong shiyi-blog do wersji 1.2.1 wykryto lukę w funkcji highlightKeyword w pliku blog-web/src/components/Search/index.vue komponentu Search. Manipulacja argumentami title/summary prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Projekt został poinformowany o problemie.
Ocena ryzyka
Cross site scripting może pozwolić atakującemu na wykonanie złośliwego skryptu w przeglądarce użytkownika, kradzież sesji lub danych. Ryzyko dotyczy użytkowników wyszukiwarki.
Rekomendacja
Należy wdrożyć walidację i kodowanie danych wejściowych dla argumentów title/summary. Zaleca się aktualizację do wersji zawierającej poprawkę.
Inne podatności w shiyi-blog
Zobacz wszystkie- CVE-2026-90564Niskie
W quequnlong shiyi-blog (wersje 1.0.0–1.2.1) zidentyfikowano podatność w funkcji SysChatMsgMapper.getChatMsgList w pliku blog-web/src/views/chat/index.vue komponentu chat sendMsg Endpoint. Manipulacja argumentem chat_msg prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-90527Średnie
W systemie quequnlong shiyi-blog do wersji 1.2.1 wykryto podatność typu cross site scripting w pliku blog-admin/src/views/message/message/index.vue w komponencie Add Message API. Manipulacja argumentem body.content prowadzi do wykonania złośliwego skryptu. Atak można przeprowadzić zdalnie, a projekt został poinformowany o problemie, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in quequnlong shiyi-blog up to 1.2.1. Affected by this issue is the function highlightKeyword of the file blog-web/src/components/Search/index.vue of the component Search. The manipulation of the argument title/summary leads to cross site scripting. The attack can be initiated remotely. The project was informed of the problem early through an issue report.