CVE-2026-4846dameng100 muucmf 1.9.5.20260309版本存在跨站脚本漏洞。该漏洞位于channel/admin.Account/autoReply.html组件中，由于对用户输入的keyword参数缺乏严格的过滤与转义，导致攻击者能够注入恶意脚本。受害者一旦访问特制链接，将在浏览器上下文中执行任意JavaScript代码，可能导致会话劫持或数据篡改。目前厂商暂未发布修复方案。
该漏洞属于典型的跨站脚本攻击（XSS）。漏洞根源在于`channel/admin.Account/autoReply.html`文件处理`keyword`参数时，未对用户提交的数据进行有效的安全净化。攻击者可以构造包含恶意JavaScript代码的URL，例如将`keyword`参数值设为`<img src=x onerror=alert(1)>`或类似Payload。当具有权限的用户（如管理员）被诱导访问该URL时，服务器端直接将未经转义的参数值嵌入到HTML响应中返回给浏览器。由于CVSS向量包含UI:R（需要用户交互），这通常表明为反射型XSS。一旦脚本执行，攻击者即可利用受害者的浏览器上下文，窃取Session ID、Cookie等敏感凭证，甚至冒充受害者执行管理操作。