CVE-2020-37237Composr CMS 10.0.34版本存在持久型跨站脚本（XSS）漏洞。该漏洞源于横幅管理界面的描述字段未对用户输入进行有效过滤。具有管理员权限的攻击者可利用“添加横幅”功能注入恶意脚本载荷。该脚本将在所有访问网站首页的访客浏览器中自动执行，从而造成敏感信息泄露或进一步的攻击行为。
该漏洞属于典型的存储型跨站脚本（Stored XSS）。其根本原因在于Composr CMS后台的横幅管理模块在处理用户提交的“描述”数据时，缺乏对HTML标签和JavaScript代码的有效过滤与转义。攻击链始于拥有管理员权限的攻击者登录后台，导航至横幅添加界面。在此处，攻击者可以向“描述”输入框中注入恶意的JavaScript载荷（如<script>标签或事件处理器）。一旦提交，后端将该恶意数据原样存储在数据库中。随后，当任意用户（包括管理员）访问包含该横幅的网站首页时，服务器会从数据库读取数据并直接渲染到HTML页面中。浏览器解析到恶意脚本后立即执行，从而导致攻击者能够窃取受害者的Cookie、会话令牌，或者执行任意客户端操作。