CVE-2026-33172Statamic CMS是一个基于Laravel和Git的内容管理系统。在5.73.14和6.7.0之前的版本中，存在一个存储型跨站脚本（XSS）漏洞。该漏洞源于SVG资产重新上传时的安全过滤机制失效。拥有资产上传权限的经过身份验证的用户可以利用此漏洞绕过SVG清理机制，上传包含恶意JavaScript代码的SVG文件。当其他用户查看该资产时，恶意代码将被执行，可能导致会话劫持或数据窃取。
该漏洞位于Statamic CMS处理SVG文件上传和重新上传的逻辑中。通常，CMS会对上传的SVG文件进行净化，以移除潜在的恶意脚本标签或事件处理器。然而，在受影响版本中，系统未能正确处理重新上传的SVG文件，导致安全检查被绕过。攻击者利用这一缺陷，可以构造包含恶意JavaScript代码的特制SVG文件。由于SVG支持XML命名空间和脚本标签，攻击者可以在文件中嵌入Payload。当具有适当权限的用户上传该文件后，若管理员或其他用户在后台预览或访问该资源，浏览器会解析SVG并执行其中的恶意脚本。鉴于该漏洞为存储型XSS（S:C），攻击范围可扩展到查看资产的其他用户，造成高完整性和机密性影响。