CVE-2026-8195JeecgBoot 3.9.1及以下版本存在存储型跨站脚本（XSS）漏洞。漏洞位于CommonController.java中的SVG文件处理组件。由于系统未能正确过滤SVG文件中的恶意代码，攻击者可上传特制的SVG文件。当受害者在浏览器中查看该文件时，将触发恶意脚本执行。目前该漏洞利用方式已公开，且厂商尚未发布修复补丁。
该漏洞的核心在于JeecgBoot框架在处理用户上传的SVG文件时，缺乏有效的安全校验机制。SVG文件基于XML格式，支持嵌入JavaScript代码。攻击者利用受影响的`CommonController`接口上传包含恶意Payload的SVG文件。当未授权的攻击者上传文件后，诱导已登录的管理员或普通用户访问该文件的预览链接，浏览器会解析SVG并执行其中的脚本。这可能导致攻击者窃取Session凭据、执行未授权操作或进行钓鱼攻击。CVSS向量为AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N，表明虽然需要用户交互，但攻击无需认证即可发起。