CVE-2026-30162Timo 2.0.3版本在处理用户输入时存在安全缺陷，具体位于标题字段的处理逻辑中。由于缺乏对恶意字符的有效过滤，攻击者可以构造包含JavaScript代码的特制链接进行注入。当经过身份验证的用户访问受影响的页面时，恶意脚本将在浏览器端自动执行。该漏洞可能导致用户Cookie被窃取、会话被劫持或页面内容被恶意篡改，对用户隐私和系统安全性构成威胁。
该漏洞属于跨站脚本攻击（XSS），根本原因在于Timo 2.0.3应用程序未对“Title”字段中的用户输入进行严格的过滤和转义。在Web应用开发中，如果将用户提交的数据直接嵌入到HTML页面响应中而不进行HTML实体编码，浏览器就会将其解析为可执行的HTML或JavaScript代码而非纯文本。攻击者可以在创建或编辑内容时，在标题字段中插入恶意Payload。由于应用后端未进行净化处理，该Payload被存储在数据库或直接由服务器返回。当管理员或其他用户浏览包含该恶意标题的页面时，浏览器解析HTML标签并执行其中的恶意脚本。根据CVSS向量（S:C），该漏洞可能改变浏览器上下文，导致攻击者利用受害者的权限访问敏感数据。