CVE-2024-58297CVE-2024-58297是PyroCMS v3.0.1版本中存在的一个存储型跨站脚本漏洞。该漏洞位于管理后台的重定向配置功能中，攻击者可以通过在「Redirect From」字段注入恶意JavaScript代码来实现持久化的XSS攻击。由于漏洞位于管理后台，当具有管理员权限的用户访问重定向配置页面时，注入的恶意脚本会自动执行。攻击者可以利用此漏洞窃取管理员的会话Cookie、伪造管理员操作、执行任意管理功能，甚至可能进一步渗透整个系统。此漏洞的CVSS评分为5.4，属于中等严重程度，攻击向量为网络，认证要求为低权限，但需要用户交互才能触发。漏洞已于2025年12月11日被披露，发现者为[email protected]。
该漏洞本质是一个存储型XSS（Stored XSS）漏洞，存在于PyroCMS管理面板的重定向管理功能中。漏洞的根本原因在于应用程序在处理用户输入时未对「Redirect From」字段进行充分的输入验证和输出编码。当管理员添加或修改重定向规则时，攻击者可以在该字段中插入恶意JavaScript代码，如：<script>alert(document.cookie)</script>。由于应用程序未对输入进行过滤，该恶意代码会被直接存储到数据库中。当其他管理员访问重定向列表页面时，存储的恶意代码会从数据库中被读取并直接渲染到HTML页面中，导致JavaScript代码在受害者浏览器中执行。攻击者可以利用此漏洞获取管理员的认证令牌、执行任意管理操作或进行进一步的攻击。修复此类漏洞需要在输入阶段对所有用户可控数据进行严格的白名单验证或HTML实体编码，并在输出阶段根据上下文进行适当的输出编码。