CVE-2026-42192Plunk是基于AWS SES构建的开源电子邮件平台。在0.9.0版本之前，该平台的营销活动管理功能中存在存储型跨站脚本（XSS）漏洞。已认证的项目成员在创建邮件正文时，可以嵌入恶意脚本。由于管理后台在渲染这些内容时直接使用了React的dangerouslySetInnerHTML属性且未进行任何HTML清理，当管理员或其他具有更高权限的成员查看受影响的营销活动时，恶意脚本将自动执行。攻击者利用此漏洞可劫持用户会话或代表用户执行未授权操作。
该漏洞属于典型的存储型跨站脚本攻击（Stored XSS）。其根本原因在于Plunk应用的前端React组件在渲染从数据库读取的邮件正文内容时，错误地使用了dangerouslySetInnerHTML API，并且完全绕过了React默认的XSS防护机制，未对输入数据进行HTML实体转义或使用DOMPurify等库进行消毒。攻击流程如下：首先，攻击者需要拥有一个有效的项目成员账户（权限要求较低）。其次，攻击者在创建或编辑营销活动的邮件内容时，注入恶意的JavaScript代码（如<img src=x onerror=alert(1)>或窃取Cookie的脚本）。该payload被存储在后端数据库中。最后，当管理员或其他目标用户访问管理面板并加载该特定的营销活动详情页时，React将未经过滤的HTML直接渲染到DOM中，导致浏览器执行攻击者的脚本。由于是在管理面板上下文中执行，攻击者可以利用管理员权限执行API调用，修改数据或窃取敏感信息。