CVE-2026-31351 Feehi CMS 存储型XSS漏洞

Feehi CMS v2.1.1版本存在一处认证型存储型XSS漏洞。该漏洞位于文章创建或编辑模块，因未对Title参数进行严格过滤，高权限攻击者可注入恶意Payload。当管理员或其他用户浏览包含该Title的页面时，恶意脚本将在浏览器中执行，进而导致敏感信息泄露或会话被劫持。

该漏洞属于认证型存储型跨站脚本攻击（Stored XSS）。在Feehi CMS v2.1.1的创建或编辑功能模块中，应用程序未能对用户输入的“Title”参数进行严格的输入验证和输出编码。攻击者需具备高权限账号（PR:H），在提交内容时将恶意JavaScript代码作为Payload注入到Title字段。该Payload会被持久化存储在服务器数据库中。当管理员或其他用户浏览包含该标题的页面时，恶意脚本将在其浏览器上下文中自动解析执行（UI:R）。鉴于CVSS向量中S:C（影响范围改变），攻击者可能利用此漏洞绕过同源策略限制，窃取Cookie、Session令牌，甚至利用管理员权限进一步控制服务器。