CVE-2023-53928CVE-2023-53928是PHPFusion 9.10.30版本中存在的一个存储型跨站脚本（Stored XSS）漏洞。该漏洞位于PHPFusion的文件管理器功能模块，攻击者可以通过该功能上传包含恶意JavaScript代码的SVG文件。当其他用户访问或查看这些被上传的SVG文件时，嵌入其中的恶意脚本会在受害者浏览器中执行，从而实现窃取用户会话信息、劫持用户账号、进行钓鱼攻击等客户端攻击。
PHPFusion是一款开源的PHP内容管理系统（CMS），广泛应用于构建各类网站和Web应用。其文件管理器功能原本用于允许管理员和授权用户上传和管理网站资源文件。然而，由于系统未对上传的SVG文件进行充分的安全过滤和内容验证，导致攻击者可以构造包含<script>标签或其他JavaScript执行代码的SVG文件并成功上传至服务器。
由于该XSS漏洞属于存储型（Stored XSS），恶意代码会被永久保存在服务器端，所有访问该文件的用户都会受到攻击影响。这使得该漏洞具有较高的危害性，特别是在多用户环境或管理员访问被污染的文件时，攻击者可能获取管理员权限，进一步控制整个网站系统。
该漏洞的CVSS评分为5.4（中等严重程度），攻击向量为网络（AV:N），无需特殊权限（PR:N），但需要用户交互（UI:R）。机密性和完整性影响均为低级别（L），可用性无影响（N）。
PHPFusion 9.10.30的文件管理器在处理文件上传时存在安全验证缺陷。系统允许用户上传SVG格式的文件，但未对SVG文件内容进行充分的安全检查。SVG（Scalable Vector Graphics）是一种基于XML的矢量图形格式，支持嵌入JavaScript代码（通过<script>标签或事件处理器如onload、onerror等）。
攻击者可以利用此漏洞构造恶意SVG文件，该文件包含JavaScript脚本代码。当文件被上传到服务器后，任何用户访问该SVG文件时，浏览器会解析SVG内容并执行其中的JavaScript代码。由于浏览器将SVG视为有效的HTML/XML内容，嵌入的脚本会在当前页面上下文中执行，从而能够访问用户的Cookie、会话令牌等敏感信息。
典型的恶意SVG文件结构如下：文件包含标准的SVG标签声明，内部嵌入<script>标签或事件属性（如<svg onload=...>），JavaScript代码通常用于窃取document.cookie或其他DOM数据，并通过fetch或XMLHttpRequest将数据发送到攻击者控制的服务器。
漏洞的根本原因在于：1）系统仅检查文件扩展名为.svg但未验证文件MIME类型；2）未对SVG内容进行净化处理或禁用脚本执行；3）文件访问时未设置正确的Content-Security-Policy响应头。建议通过文件内容白名单验证、MIME类型检查、内容安全策略配置等措施进行修复。