CVE-2023-54361Joomla iProperty Real Estate 4.1.1组件被发现存在反射型跨站脚本漏洞（CVE-2023-54361）。该漏洞源于组件在处理房产搜索请求时，未能对`all-properties-with-map`端点中的`filter_keyword`参数进行有效的安全过滤。攻击者可以精心设计包含恶意JavaScript代码的URL链接，诱导受害者点击。一旦受害者访问，恶意脚本将在其浏览器上下文中执行，进而导致敏感数据如会话令牌或登录凭证被窃取，对用户隐私构成严重威胁。
该漏洞的技术成因在于Joomla iProperty Real Estate组件对用户输入的信任度过高。在`all-properties-with-map`页面处理搜索功能时，应用程序直接接收GET请求中的`filter_keyword`参数，并将其未经转义地嵌入到返回的HTML响应中。这种“输入即输出”的处理方式打破了输出编码的安全原则。攻击者可利用此缺陷，构造诸如`<script>alert(document.cookie)</script>`或利用HTML事件处理器（如onerror, onload）的载荷。由于漏洞属于反射型，攻击载荷不存储在服务器数据库，而是通过URL传播。利用链的关键在于诱导具备特定权限或会话的用户访问恶意链接，从而在受害者的浏览器环境中上下文执行代码，绕过同源策略限制获取敏感信息。