CVE-2026-28703Zohocorp ManageEngine Exchange Reporter Plus 在 5802 版本之前存在一个安全漏洞。该漏洞位于“用户间交换的邮件”报表功能中，属于存储型跨站脚本攻击。由于应用程序未能对用户输入的邮件内容进行充分的过滤和转义，攻击者可以利用此漏洞在报表中植入恶意脚本代码。当具有低权限的受害者查看受感染的报表时，恶意脚本将在其浏览器上下文中执行。这可能导致攻击者窃取受害者的会话令牌、劫持账户权限，或执行其他未经授权的操作，对系统的机密性和完整性构成严重威胁。
该漏洞的根本原因在于 Zohocorp ManageEngine Exchange Reporter Plus 的报表生成模块缺乏对用户可控数据的严格输出编码。具体而言，在处理“用户间交换的邮件”报表时，系统直接从数据库读取邮件内容并将其渲染到 HTML 页面中，而未对其中可能包含的 JavaScript 或 HTML 标签进行转义处理。攻击者首先需要拥有低权限账户访问权限，并向系统发送包含恶意负载（如 `<script>alert(document.cookie)</script>`）的邮件。该邮件被系统接收并存储后，当管理员或其他用户访问特定的邮件交换报表时，恶意 payload 会随页面动态加载并在浏览器端执行。由于 CVSS 向量显示为 PR:L（低权限）和 UI:R（需要用户交互），攻击者通常需要诱导目标用户查看该报表。成功利用后，攻击者可以利用受害者的身份权限在系统中执行操作，读取敏感数据，甚至进一步渗透内网。这种存储型 XSS 的危害在于其持久性，只要受污染的数据未被清理，所有查看该报表的用户都可能受到攻击。