CVE-2026-29840JiZhiCMS v2.5.6及之前版本在用户发布功能中存在存储型XSS漏洞。应用程序虽然尝试过滤<script>标签，但未能递归移除其他HTML标签（如<img>）中的危险事件处理器（如onerror）。经过身份认证的远程攻击者可利用/user/release.html接口的body参数注入任意Web脚本，导致存储型跨站脚本攻击。
该漏洞位于app/home/c/UserController.php文件的release函数中。核心成因是JiZhiCMS的输入过滤机制存在逻辑缺陷，仅简单移除了<script>标签字符串，却未对HTML标签属性进行深度解析和清洗，导致攻击者可以利用其他标签（如<img>、<body>）的事件属性（如onerror）注入恶意代码。攻击者需具备低权限账号，通过向/user/release.html发送POST请求，在body参数中植入带有事件处理器的Payload。由于系统未能递归过滤，该Payload被持久化存储。一旦管理员或用户访问该发布内容，浏览器解析HTML标签并触发事件，即可在受害者上下文中执行任意JavaScript代码，进而窃取Cookie、进行会话劫持或钓鱼攻击。