CVE-2021-47950Advanced Guestbook 2.4.4版本在表情符号管理界面存在一个持久型跨站脚本漏洞。经过身份认证的攻击者可以通过操纵 `s_emotion` 参数来注入恶意脚本。攻击者可以向 `admin.php` 提交包含JavaScript代码的POST请求，当管理员查看表情符号选项卡时，这些代码将被执行，从而可能导致管理员会话被劫持或进一步的控制权获取。
该漏洞的根源在于服务器端未对 `admin.php` 接收到的 `s_emotion` 参数进行充分的输入验证和输出编码。攻击者首先需要以低权限用户身份登录系统，随后构造特定的POST请求，在该参数中植入XSS Payload（如 `<script>alert(1)</script>`）。由于系统直接将此数据存储在数据库中，当具有更高权限的管理员访问“Smilies”管理标签页时，系统会从数据库读取并渲染该参数值，导致恶意脚本在管理员的浏览器上下文中执行。这种存储型XSS攻击具有持久性，无需每次都诱导管理员点击特定链接，只需访问受影响页面即可触发。一旦触发，攻击者可窃取Cookie或执行管理员权限下的操作。