CVE-2026-22587CVE-2026-22587是Ideagen DevonWay产品中发现的一个存储型跨站脚本漏洞，CVSS评分为5.5，属于中等严重级别。该漏洞存在于DevonWay的Reports（报告）功能模块中，允许远程已认证的低权限攻击者在报告中注入恶意JavaScript代码。当其他用户查看这些被植入恶意代码的报告时，攻击者的脚本将在受害者浏览器上下文中执行，可能导致会话劫持、敏感信息窃取、钓鱼攻击或进一步的权限提升。由于该漏洞为存储型XSS，恶意代码会持久化保存在服务器端，所有访问该报告的用户都会受到攻击影响。攻击者利用此漏洞可以窃取用户Cookie、会话令牌，伪装成受害者执行操作，或在受害者浏览器中植入进一步的攻击载荷。该漏洞需要用户交互才能触发，即受害者必须查看包含恶意代码的报告页面。
该漏洞是典型的存储型跨站脚本（Stored XSS）漏洞，存在于Ideagen DevonWay的Reports页面功能中。攻击流程如下：首先，攻击者以低权限用户身份登录DevonWay系统；然后，攻击者在创建或编辑报告时，在报告内容字段中注入恶意JavaScript代码（如<script>alert(document.cookie)</script>或更复杂的窃取Cookie代码）；由于系统未对用户输入进行充分的输入验证和输出编码，恶意代码被直接存储在数据库中；最后，当其他用户访问该报告页面时，服务器从数据库读取并回显报告内容，恶意脚本随页面一起发送给受害者浏览器并在上下文中执行。存储型XSS相比反射型XSS危害更大，因为恶意代码持久存在于服务器上，所有访问该资源的用户都会成为受害者。攻击者可利用此漏洞窃取会话Cookie、劫持用户会话、执行任意操作、植入恶意重定向或进行钓鱼攻击。由于需要用户交互（查看报告），攻击者通常会配合社会工程学手段诱导目标用户访问恶意报告。