CVE-2026-2348Drupal Quick Edit模块存在存储型跨站脚本（XSS）漏洞。该漏洞源于Web页面生成过程中未能正确中和用户输入，导致攻击者能够注入恶意脚本。当具有低权限的攻击者诱导其他用户（特别是管理员）访问受影响页面时，恶意脚本将在其浏览器中执行，进而窃取会话凭证或执行未授权操作。
该漏洞属于存储型跨站脚本，核心在于Drupal Quick Edit模块在处理用户通过前端编辑功能提交的数据时，缺乏足够的输入验证和输出编码。Quick Edit模块允许用户直接在页面上修改内容，但在渲染编辑后的字段时，未对特定上下文中的特殊字符进行转义。攻击者利用低权限账户，通过Quick Edit接口在文章内容或字段中插入恶意HTML/JavaScript代码（例如利用img标签的onerror事件）。由于服务端未对输入进行有效中和，该Payload被持久化存储于数据库中。当管理员或其他高权限用户浏览包含该恶意内容的页面时，Quick Edit的渲染机制会将未转义的数据输出到DOM中，从而触发恶意脚本执行。由于CVSS向量为S:C，攻击者可利用受害者的会话权限突破同源策略限制，进行进一步的内网探测或权限提升。