CVE-2026-41932Vvveb 1.0.8.3之前的版本中存在一个存储型跨站脚本（XSS）漏洞。该漏洞位于客户注册流程中，由于`Signup::addUser()`控制器在数据清理操作之前，直接将原始POST请求中的用户名值复制到了`display_name`字段。攻击者可以在注册时利用用户名字段提交恶意的HTML和脚本标记。尽管系统随后会清除`username`列中的恶意代码，但载荷仍会原样保留在`display_name`列中。当后台或其他用户在未编码的视图中查看渲染该字段时，存储的XSS将被触发执行。
该漏洞的根本原因在于数据处理逻辑中的时序问题。在Vvveb的注册控制器中，代码直接引用了用户输入的`username`参数并将其赋值给`display_name`。虽然后续代码会对`username`进行净化处理以防止常规注入，但并未对已赋值的`display_name`进行二次过滤。由于`display_name`在数据库中被持久化存储，且在前端展示时缺乏适当的HTML实体编码，导致攻击者注入的JavaScript代码能够被浏览器解析。攻击者无需经过身份认证即可利用此漏洞，通过构造特定的注册请求植入恶意脚本，一旦管理员访问受影响的管理页面，脚本即在其浏览器上下文中运行，可能导致会话劫持或进一步的控制台攻击。