CVE-2026-6990projeto-siga siga 11.0.3.18版本被发现存在跨站脚本（XSS）漏洞。该漏洞源于文件`/sigawf/app/responsavel/novo`中未对用户输入进行充分过滤。攻击者可利用低权限账户，通过构造恶意的`Nome`或`Descrição`参数发起攻击。由于该漏洞需要用户交互，攻击者通常诱导受害者点击链接或访问特定页面。一旦成功，恶意脚本将在受害者浏览器中执行，可能导致数据篡改或会话劫持。目前该漏洞利用代码已公开，风险不可忽视。
该漏洞主要源于应用程序在处理`/sigawf/app/responsavel/novo`接口请求时，缺乏对用户提交数据的输出编码。攻击者无需高权限，仅需注册低权限账户即可利用。通过对`Nome`（名称）或`Descrição`（描述）参数注入HTML或JavaScript代码，如`<script>alert(1)</script>`，后端服务器将其直接存储并回显给访问该页面的用户。这是一个典型的存储型XSS漏洞场景。虽然CVSS评分仅为3.5（低危），主要限制了机密性和可用性的影响，但在特定上下文中，结合社会工程学，仍可对用户造成欺骗或执行未授权操作。攻击链包括：攻击者提交数据、系统存储数据、受害者浏览触发、脚本执行。厂商尚未回应，需手动修复输入过滤逻辑。