CVE-2026-0835CVE-2026-0835是IBM Sterling B2B Integrator和IBM Sterling File Gateway产品中存在的一个存储型跨站脚本（Stored XSS）漏洞。该漏洞影响版本6.1.0.0至6.1.2.7_2、6.2.0.0至6.2.0.5_1、6.2.1.0至6.2.1.1_1以及6.2.2.0版本。攻击者作为已认证的低权限用户，可以在Web UI界面中嵌入任意JavaScript代码，当其他用户访问包含恶意脚本的页面时，脚本将在受害者浏览器上下文中执行。这允许攻击者窃取会话Cookie、劫持用户会话、修改页面内容显示或诱导受害者执行非预期操作。在受信任的会话中，该漏洞可能导致凭证信息泄露，对企业业务数据安全构成威胁。CVSS 3.1评分5.4属于中等严重程度，需要网络访问、低权限认证和用户交互才能利用。
该漏洞为存储型XSS（Stored XSS），存在于IBM Sterling B2B Integrator和IBM Sterling File Gateway的Web用户界面中。攻击者通过在特定输入字段中注入恶意JavaScript代码（如<script>alert(document.cookie)</script>），该脚本被存储在服务器端数据库或配置中。当其他用户访问相关功能页面时，服务器从数据库读取并返回包含恶意脚本的页面内容，浏览器执行脚本后导致XSS攻击成功。由于攻击发生在已认证用户的会话上下文中，恶意脚本可以访问该用户的会话信息、执行特权操作或窃取敏感数据。漏洞利用前提是攻击者需拥有有效账号（低权限即可），通过Web界面进行操作，需要诱导其他用户访问触发点。攻击者可通过XSS窃取CSRF Token后进行进一步攻击，或获取管理员凭证提升权限。