CVE-2026-1493LEX Baza Dokumentów软件存在基于DOM的跨站脚本（XSS）漏洞。漏洞产生的原因是应用程序在客户端对“em”Cookie参数进行了不安全的处理，导致攻击者能够诱导受害者在浏览器中执行任意JavaScript代码。虽然利用该漏洞需要设置Cookie，使得攻击难度较高且风险相对有限，但厂商已确认此安全问题并在1.3.4版本中发布了修复补丁。用户应及时更新系统以防御潜在攻击。
该漏洞属于DOM型跨站脚本攻击（DOM XSS）。与传统存储型或反射型XSS不同，DOM XSS完全发生在客户端，漏洞数据源来自浏览器环境（如URL片段或Cookie等），并未经过服务器处理，而是被DOM API直接引用到执行点。在LEX Baza Dokumentów应用中，程序读取名为“em”的Cookie参数，并未对其进行有效的过滤或转义，直接将其传递给容易触发代码执行的DOM属性（如innerHTML）。攻击者若能欺骗受害者访问恶意链接或通过中间人攻击设置该Cookie，即可注入恶意JavaScript脚本。由于CVSS向量显示需要用户交互（UI:R）和低权限（PR:L），且影响范围局限于客户端（机密性和完整性低），攻击者通常利用此漏洞窃取会话令牌、执行钓鱼攻击或重定向用户。