CVE-2026-38947FluentCMS 1.2.3版本的TextHTML插件中存在跨站脚本（XSS）漏洞。由于该插件对用户输入的过滤机制不完善，未经身份验证的攻击者可以注入恶意脚本代码。当受害者访问包含恶意脚本的页面时，代码将在浏览器端执行。此漏洞可导致窃取用户敏感信息（如Cookie）、会话劫持或进行恶意重定向，对系统的机密性和完整性构成威胁。
该漏洞源于FluentCMS 1.2.3版本中TextHTML插件对用户输入内容的安全校验不足。在处理富文本数据时，插件未能有效识别并过滤危险的HTML标签及JavaScript事件属性（如`onmouseover`、`onerror`等）。攻击者无需经过身份认证（PR:N），即可向系统提交包含恶意脚本的特制数据。例如，攻击者可以构造一段看似正常的HTML代码，其中嵌入了`<script>`标签或带有事件处理器的`<img>`标签。当系统将此数据存储并在前端渲染时，浏览器会将其解析为可执行代码。由于CVSS向量中包含S:C（范围改变），表明该漏洞具有跨域攻击的潜力，可能影响同一浏览器下的其他站点。攻击者利用此机制，可在受害者浏览器上下文中执行任意JavaScript代码，从而窃取Session ID、修改页面内容或进行钓鱼攻击。这种利用方式依赖于用户交互（UI:R），通常通过社会工程学诱导受害者访问特定URL触发。