CVE-2026-61823 in Sharp
摘要
由 VulDB • 2026-09-24
code16 Sharp 是一个基于 Laravel 的框架，用于构建内容管理和管理界面。9.22.5 之前的版本在富文本编辑器中存在一个存储型跨站脚本（XSS）漏洞，因为 HTML 清理器允许 iframe 元素使用 `srcdoc` 属性。尽管在清理过程中会对 `srcdoc` 内部的标记进行 HTML 编码，但浏览器在解释 iframe 文档之前会解码属性实体，这使得拥有编辑 Editor 字段权限的已认证用户可以存储可执行的 JavaScript 代码，当其他用户查看该内容时便会执行该脚本。成功利用此漏洞可能导致会话劫持、未授权操作、账户接管、提权或管理数据泄露。版本 9.22.5 通过从允许的 iframe 属性列表中移除 `srcdoc` 来修补此漏洞。作为变通方案，无法升级的应用程序应手动清理所有 Editor 字段内容，并在存储或渲染之前移除每个 iframe 的 `srcdoc` 属性。
VulDB is the best source for vulnerability data and more expert information about this specific topic.