CVE-2023-53916: Zenphoto 1.6 存储型XSS漏洞

Zenphoto 1.6中存在一个存储型跨站脚本(XSS)漏洞，该漏洞位于admin-users.php管理界面的用户邮编字段。攻击者可以通过在用户邮编字段中注入恶意JavaScript代码，当管理员查看这些用户信息时，恶意代码会在管理员的浏览器中执行。由于Zenphoto允许通过HTML导入用户数据，攻击者可以利用这一功能注入包含XSS有效载荷的用户信息。此漏洞可被低权限用户利用，通过社会工程学诱导管理员查看特定用户资料，从而窃取管理员会话cookie或执行其他恶意操作。

该漏洞源于Zenphoto 1.6在处理用户邮编字段时缺乏充分的输入验证和输出编码。具体来说，当通过admin-users.php界面导入用户数据时，系统未对邮编字段进行HTML转义就直接存储到数据库中。随后在管理员查看用户详情页面时，这些未经过滤的数据被直接渲染到HTML页面中，导致嵌入的JavaScript代码被执行。攻击者可构造包含<script>标签或事件处理器（如onerror、onload等）的恶意代码片段作为邮编值。