CVE-2026-30578 CVSS 6.5 中危

CVE-2026-30578: File Thinghie XSS漏洞

披露日期: 2026-03-20

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-30578

漏洞类型

跨站脚本攻击 (XSS)

CVSS评分

6.5 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

需要交互 (UI:R)

影响产品

File Thinghie

漏洞概述

File Thinghie 2.5.7版本存在跨站脚本攻击（XSS）漏洞。由于未对GET请求中的“dir”参数进行严格过滤，攻击者可注入恶意JavaScript代码。诱导低权限用户访问恶意链接后，脚本将在浏览器端执行，从而窃取Cookie或进行会话劫持。

技术细节

该漏洞属于反射型跨站脚本漏洞（XSS）。漏洞成因是File Thinghie在处理文件目录浏览请求时，未对GET参数“dir”进行有效的输入验证和HTML实体编码。攻击者可以构造包含恶意JavaScript代码的URL，例如在dir参数中插入`<script>alert(1)</script>`。根据CVSS向量，攻击需要低权限（PR:L）及用户交互（UI:R），这意味着攻击者需诱导已登录用户访问恶意链接。一旦受害者访问，恶意脚本将在其浏览器会话中执行。攻击者可利用此漏洞窃取Cookie、会话令牌，或通过DOM操作执行未授权操作，进而接管用户账户，对系统的机密性、完整性和可用性造成低至中度影响。

攻击链分析

STEP 1

侦查

攻击者识别运行File Thinghie 2.5.7的目标网站及文件管理入口。

STEP 2

武器化

攻击者构造包含恶意JavaScript代码的URL，利用“dir”参数进行XSS Payload注入。

STEP 3

投递

攻击者通过网络钓鱼、电子邮件或社交媒体将恶意链接发送给目标用户。

STEP 4

利用

目标用户（具备低权限账户）点击链接，浏览器向服务器发送带有恶意参数的GET请求。

STEP 5

执行

服务器将未经过滤的参数值反射回响应页面，恶意脚本在受害者浏览器上下文中执行。

STEP 6

达成目标

攻击者利用执行的脚本窃取用户Session ID、敏感信息或执行未授权操作。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# PoC for CVE-2026-30578: File Thinghie XSS Vulnerability
import requests

def check_xss(url):
    # Injecting a simple JavaScript payload into the 'dir' parameter
    payload = "?dir=<script>confirm('CVE-2026-30578_PoC')</script>"
    target = url + payload

    try:
        response = requests.get(target)
        # Check if the payload is reflected in the response without proper encoding
        if "confirm('CVE-2026-30578_PoC')" in response.text:
            return "[+] Vulnerable: XSS payload executed successfully."
        else:
            return "[-] Not Vulnerable: Payload not found or filtered."
    except Exception as e:
        return f"Error connecting to target: {e}"

# Usage
# print(check_xss("http://target-site.com/filethingie.php"))

影响范围

File Thinghie 2.5.7

防御指南

临时缓解措施

建议管理员暂时限制外部对文件管理器的访问，或部署Web应用防火墙（WAF）规则拦截包含特定恶意脚本字符（如 <script>, javascript:）的“dir”参数请求。同时，应加强对用户的安全教育，提醒其不要点击来源不明的链接，直至完成官方补丁更新。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表