CVE-2026-30082IngEstate Server v11.14.0版本中的软件包列表页面编辑功能存在存储型跨站脚本（XSS）漏洞。攻击者无需经过复杂认证即可利用该漏洞，通过“关于应用”、“新功能”或“发布说明”参数注入恶意HTML或JavaScript代码。一旦攻击成功，当管理员或其他用户浏览受影响页面时，恶意载荷将被触发，从而导致会话劫持、敏感信息窃取或恶意操作等后果。
该漏洞属于典型的存储型XSS（Stored XSS）。其根本原因在于服务器端未对用户在“软件包列表”编辑功能中提交的特定参数（如About application、What's news、Release note）进行严格的输入清洗和输出编码。应用程序直接将攻击者提交的恶意脚本存储在数据库中，并在后续用户访问该页面时进行渲染。由于CVSS向量为PR:N（无需认证）和UI:R（需要用户交互），攻击者可构造包含JavaScript事件（如onerror）的Payload并发送给服务器。当受害者访问被注入的页面时，浏览器会解析并执行该脚本，从而在受害者上下文中执行任意代码，窃取Cookie或进行钓鱼攻击。