CVE-2026-34890MSTW League Manager 插件在处理网页生成时的输入验证存在缺陷，导致基于 DOM 的跨站脚本（XSS）漏洞。该问题影响了从 n/a 到 2.10 的所有版本。由于未能正确中和用户输入，攻击者可以构造特制链接，诱导低权限用户进行交互。一旦交互发生，恶意脚本将在受害者浏览器中执行，可能导致敏感数据窃取或会话劫持。
该漏洞具体属于 DOM-Based XSS（基于 DOM 的跨站脚本攻击）。其技术原理在于客户端 JavaScript 代码在处理用户可控的数据源（例如 URL 查询参数、片段标识符或 POST 数据）时，未进行适当的上下文相关转义，直接将其传递给危险的接收器（如 innerHTML、outerHTML 或 document.write）。在 MSTW League Manager 插件 2.10 及以下版本中，特定功能模块的渲染逻辑存在此缺陷。攻击者可利用此漏洞构造包含恶意 JavaScript 代码的特制 URL。根据 CVSS 向量分析，攻击需要低权限（PR:L）且必须诱导用户进行交互（UI:R），例如点击链接或访问特定页面。一旦用户触发，恶意代码将在受害者的浏览器上下文中执行。由于作用域为 S:C（范围改变），该脚本可能影响同源下的其他页面，导致窃取 Session Cookie、钓鱼攻击或执行未授权的 API 请求。