CVE-2026-22678Webmin 2.641之前版本在System and Server Status模块的邮件模板描述字段存在存储型XSS漏洞。低权限认证攻击者可利用save_tmpl.cgi注入未经过滤的恶意输入，当管理员访问list_tmpls.cgi查看列表时，该输入未经转义直接渲染，导致在管理员浏览器中执行任意脚本。
该漏洞源于Webmin在处理邮件模板描述时缺乏严格的输入验证和输出编码。攻击者首先需要拥有低权限账户并登录。随后，攻击者访问受影响模块，在描述字段中插入恶意的JavaScript代码（如<script>alert(1)</script>）。该请求被发送至save_tmpl.cgi处理并存储到后端数据库或文件中。当具有更高权限的管理员访问list_tmpls.cgi查看模板列表时，后端直接从存储中读取数据并渲染到前端页面，由于未对特殊字符进行HTML转义，嵌入的恶意代码将在受害者的浏览器上下文中执行。利用此漏洞，攻击者可在管理员浏览器中执行操作，进而可能达成远程代码执行（RCE）。