CVE-2026-5784 CVSS 8.8 高危

CVE-2026-5784 DivvyDrive存储型XSS漏洞

披露日期: 2026-05-07

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-5784

漏洞类型

存储型XSS

CVSS评分

8.8 高危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

DivvyDrive

漏洞概述

DivvyDrive Information Technologies Inc.的DivvyDrive产品在网页生成过程中存在输入净化不当的问题，导致存储型跨站脚本（XSS）漏洞。攻击者无需认证即可利用此漏洞，在受害者的浏览器中执行恶意脚本。受影响版本为4.8.2.9至4.8.3.2之前。该漏洞对机密性、完整性和可用性均造成严重影响。

技术细节

该漏洞属于典型的存储型跨站脚本（Stored XSS）。漏洞根源在于DivvyDrive应用程序在接收用户输入并生成Web页面的过程中，未能正确中和特殊字符，导致攻击者注入的恶意脚本被持久化存储在服务器端。由于CVSS向量显示无需认证（PR:N）且攻击复杂度低（AC:L），未经授权的攻击者可以向系统提交包含恶意JavaScript代码的Payload。虽然利用需要用户交互（UI:R），即受害者需要访问被污染的页面，但一旦触发，攻击者即可在受害者浏览器上下文中执行任意代码。这不仅可能导致敏感信息（如Session ID）被窃取，还可能利用受害者的权限执行未授权操作，严重威胁系统的机密性、完整性和可用性。

攻击链分析

STEP 1

侦察

攻击者识别出目标系统运行的是DivvyDrive受影响版本（4.8.2.9至4.8.3.2之前）。

STEP 2

漏洞注入

攻击者向应用程序的输入接口（如评论框、用户资料等）发送包含恶意JavaScript代码的数据。

STEP 3

数据存储

应用程序由于缺乏适当的过滤，将恶意脚本未经过滤地存储在数据库中。

STEP 4

触发漏洞

当合法用户（如管理员）访问包含该恶意数据的页面时，服务器从数据库读取数据并渲染到网页中。

STEP 5

执行攻击

受害者的浏览器解析渲染后的HTML，执行其中的恶意脚本，导致Cookie窃取或其他恶意行为。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- PoC for DivvyDrive Stored XSS -->
<!-- Example HTTP Request -->
POST /vulnerable_endpoint HTTP/1.1
Host: target-domain.com
Content-Type: application/x-www-form-urlencoded

input_field="><script>alert(document.cookie)</script>&submit=Submit

影响范围

DivvyDrive < 4.8.3.2

防御指南

临时缓解措施

建议立即将受影响的DivvyDrive实例升级至修复版本。如果无法立即升级，应实施严格的输入过滤规则，并限制对受影响功能的访问。同时，建议用户在系统修复前，不要点击来源不明的链接或在系统中输入敏感信息。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表