CVE-2021-47931Exponent CMS 2.6版本存在存储型跨站脚本漏洞（CVE-2021-47931）。由于应用未对用户输入进行充分过滤，经过身份验证的攻击者可利用文本编辑端点的Title和Text Block参数注入恶意脚本。攻击者通过注入包含SVG onload事件的iframe载荷执行任意JS。此外，系统还存在数据库凭证泄露及登录接口缺乏暴力破解保护的问题，严重威胁应用安全。
该漏洞主要源于Exponent CMS 2.6在处理文本编辑模块数据时的输入验证机制失效。攻击者在通过低权限认证后，可利用应用程序对HTML标签过滤不严的缺陷，在“Title”和“Text Block”参数中嵌入恶意载荷。具体的利用方式包括注入带有嵌入式SVG onload事件的iframe标签，这种混合载荷常用于绕过基础的XSS过滤器。一旦载荷被保存至数据库，每当管理员或其他用户访问受影响的页面时，嵌入的JavaScript代码便会在其浏览器环境中自动执行，进而窃取会话令牌或进行恶意操作。此外，分析发现该应用在HTTP响应中直接暴露了数据库连接凭证，且认证端点未设置速率限制，这使得攻击者不仅可以通过XSS客户端攻击，还能结合凭证泄露和暴力破解手段进一步渗透服务器，极大提升了攻击的成功率和危害程度。