CVE-2020-37236 NewsLister 存储型XSS漏洞

NewsLister软件中存在一个经过身份验证的持久型跨站脚本（XSS）漏洞。该漏洞源于后台新闻添加接口对标题参数缺乏严格的过滤。经过身份验证的管理员可利用该漏洞在新闻标题中注入恶意JavaScript代码。一旦其他用户访问包含恶意代码的新闻列表页面，脚本将在其浏览器端自动执行，进而攻击者可利用此漏洞窃取用户会话凭证、篡改页面内容或执行其他恶意操作，对系统安全构成严重威胁。

该漏洞属于存储型XSS（Stored XSS），漏洞发生在NewsLister系统的管理后台新闻发布模块。由于系统在处理用户提交的新闻标题时，未对特殊字符（如 <, >, ', " 等）进行有效的HTML实体编码或输入验证，导致攻击者能够将恶意的HTML/JavaScript脚本写入数据库。利用流程：攻击者首先需要拥有管理员权限或能够访问新闻发布功能。在添加新闻时，攻击者在“Title”字段构造Payload，例如 <script>alert(document.cookie)</script>。该数据被服务器接收并直接存储在数据库中。随后，当普通用户或管理员访问展示该新闻的页面时，服务器会从数据库读取包含恶意代码的标题并呈现在网页上。由于缺乏输出转义，浏览器将恶意代码解析为可执行脚本，从而触发攻击。这种类型的漏洞危害范围广，因为恶意脚本会持久化在服务器端，影响所有访问该页面的用户。