CVE-2023-53891Blackcat CMS 1.4版本中存在一个存储型跨站脚本（Stored XSS）漏洞，该漏洞允许经过身份验证的具有低权限的用户在页面修改界面中注入恶意JavaScript脚本。当其他用户访问被植入恶意代码的页面时，这些脚本将自动执行，从而可能导致会话劫持、敏感信息窃取、钓鱼攻击等安全问题。攻击者利用此漏洞可以获取受害者用户的Cookie、会话令牌或其他敏感数据，甚至可以在受害者浏览器中执行任意操作。由于该漏洞为存储型XSS，恶意脚本会被永久保存在服务器端，所有访问该页面的用户都会受到影响，因此危害性较大。
该漏洞源于Blackcat CMS 1.4的页面修改功能对用户输入缺乏充分的输入验证和输出编码。攻击者作为低权限认证用户，可以通过页面编辑接口提交包含恶意JavaScript代码的页面内容。系统未能对特殊字符进行适当转义，导致恶意脚本被直接存储在数据库中。当其他用户访问该页面时，服务器从数据库读取并返回包含恶意代码的HTML内容，浏览器将其解析执行。攻击者可利用此漏洞窃取会话Cookie、伪造用户操作、进行钓鱼攻击或传播恶意软件。