CVE-2026-38948FUEL CMS v1.5.2及之前版本在资源上传模块中存在跨站脚本（XSS）漏洞。该漏洞源于应用程序未对上传的SVG文件进行严格的过滤和净化。低权限的认证攻击者可利用此漏洞上传包含恶意JavaScript代码的特制SVG文件。一旦管理员或其他用户访问这些被上传的文件，恶意脚本将在浏览器中执行，进而窃取会话凭证或执行其他恶意操作。
该漏洞属于存储型跨站脚本攻击（Stored XSS）。FUEL CMS在处理资源上传功能时，未能对SVG文件内容的合法性进行严格校验。SVG作为一种基于XML的图形格式，允许在其中嵌入JavaScript脚本或定义事件处理器。攻击者利用低权限账户登录系统，构造包含恶意代码（如<script>标签或onload事件）的特制SVG文件。由于服务器端仅检查文件扩展名或MIME类型而忽略了文件内部的实体内容，导致恶意文件被成功上传并存储在服务器上。当管理员或其他用户访问资源管理页面或直接预览该SVG文件时，浏览器会解析并执行其中的恶意脚本，导致攻击者可窃取Cookie、会话令牌或重定向用户至钓鱼网站。