CVE-2026-3218 Drupal Responsive Favicons 存储型XSS漏洞

Drupal Responsive Favicons模块存在跨站脚本（XSS）漏洞。该漏洞源于Web页面生成过程中未对用户输入进行适当的中性化处理。受影响的产品版本为2.0.2之前的所有版本。由于需要高权限才能注入恶意代码，且需要用户交互才能触发，因此风险被评定为中危。成功利用该漏洞可能导致攻击者在受害者浏览器中执行恶意脚本。

该漏洞属于存储型跨站脚本（Stored XSS）。Drupal Responsive Favicons模块在处理网站图标（Favicon）配置时，未对特定字段（如图标路径或描述）进行严格的输入验证和过滤。具有高权限（如管理员）的攻击者可以在模块配置页面注入恶意JavaScript代码。当其他用户访问包含该图标的页面或管理后台时，恶意脚本将在其浏览器上下文中执行。由于CVSS向量包含S:C（范围变更），该漏洞可能影响浏览器上下文之外的安全属性，例如窃取Session ID、重定向用户或执行针对站内其他请求的操作。