CVE-2026-31281 Totara LMS HTML注入漏洞

Totara LMS v19.1.5及之前版本存在HTML注入漏洞。攻击者可在应用内消息中注入恶意HTML代码并发送给所有用户。尽管供应商声称使用了DOMPurify进行清理且限制了标签，但该漏洞可能导致代码在受害者浏览器中执行，进而引发会话劫持等安全风险。

该漏洞源于Totara LMS应用内消息客户端的输入过滤机制不完善。攻击者利用低权限账户发送消息，构造包含恶意HTML标签或属性的载荷。虽然供应商指出系统通过DOMPurify库过滤了<script>、<iframe>等高危标签以及onerror等事件属性，只允许加粗、斜体等基础富文本标签，但漏洞披露者认为仍存在绕过方式注入HTML。一旦恶意消息被存储并在其他用户查看时渲染，若过滤规则存在缺陷，攻击者即可在受害者浏览器上下文中执行恶意JavaScript代码。利用方式通常涉及构造特殊的HTML payload，绕过白名单或清理逻辑，从而实现窃取Cookie或会话令牌（Session Hijacking）以及在受害者浏览器中执行任意命令。