CVE-2026-1564Pega Platform版本8.1.0至25.1.1在特定用户界面组件中存在HTML注入漏洞。该漏洞的利用门槛相对较高，需要攻击者拥有高权限用户身份，例如开发者角色。由于系统未能对输入数据进行充分的过滤和转义，具有特定权限的攻击者可以在UI组件中注入恶意HTML代码。一旦其他用户（如管理员）访问受影响的界面，这些恶意代码将在浏览器中执行，从而导致数据泄露或页面内容被篡改。
该漏洞源于Pega Platform用户界面组件对用户输入的验证机制存在缺陷。根据CVSS 3.1向量分析，攻击复杂度为低（AC:L），但需要高权限（PR:H）和用户交互（UI:R），这意味着攻击者必须具备开发者角色的账户凭据。在利用过程中，攻击者通过受影响的UI字段提交包含HTML或JavaScript标签的恶意载荷。由于应用程序缺乏输出编码，这些载荷被直接渲染到Web页面中。当具有更高权限的用户访问该页面时，注入的脚本将在其浏览器会话中执行。尽管影响范围（S:C）允许攻击影响当前上下文之外的资源，但CVSS评分显示其机密性、完整性影响均为低（C:L/I:L），可用性无影响（A:N）。