CVE-2026-34212Docmost是一款开源协作wiki软件。在0.71.0版本之前，该软件存在一个安全漏洞，允许低权限的认证用户在页面内容的附件节点中存储恶意的`javascript:` URL。当其他用户查看该页面并点击附件链接或图标时，攻击者注入的JavaScript代码将在受害者的浏览器中执行。该漏洞源于对附件URL的不当中和处理，可能导致敏感信息泄露或会话劫持。
该漏洞属于典型的存储型跨站脚本攻击（Stored XSS）。Docmost在处理用户提交的附件URL时，未能充分验证和净化输入数据，特别是对`javascript:`伪协议的过滤存在疏漏。攻击者首先需要拥有一个低权限的认证账户，随后在编辑页面时，利用附件上传或插入功能，将恶意载荷（如`javascript:alert(document.cookie)`）注入到附件节点的URL属性中。后端系统直接将此恶意数据持久化存储在数据库中，未进行转义处理。当管理员或其他普通用户浏览包含该恶意附件的页面时，服务器会将存储的恶意URL回显至前端HTML中。一旦受害者尝试点击或激活该附件链接，浏览器便会识别`javascript:`协议并在当前Docmost域的上下文中执行内联脚本。这种攻击方式利用了用户对系统的信任，绕过了同源策略的限制，使得攻击者能够窃取会话凭证、执行恶意操作或重定向用户至钓鱼网站。