CVE-2026-8255Devs Palace ERP Online 4.0.0及之前版本在处理`/inventory/add_new_customer`文件请求时存在跨站脚本漏洞。由于系统未对用户输入进行充分过滤，攻击者可诱导高权限用户进行交互，从而注入恶意脚本。该漏洞可被远程利用，且已有公开PoC，但厂商未响应，建议用户加强防护。
该漏洞属于存储型跨站脚本（Stored XSS），位于Devs Palace ERP Online系统的`/inventory/add_new_customer`功能模块中。漏洞成因在于应用程序未能对用户提交的“新增客户”数据中的特殊字符（如`<script>`、`onerror`等）进行严格的转义或过滤，导致恶意代码被持久化存储在服务器数据库中。当具有高权限的管理员或其他用户访问受影响的客户列表页面时，恶意脚本会在其浏览器上下文中执行。根据CVSS向量分析，攻击需要高权限账号（PR:H）和用户交互（UI:R），且主要影响系统完整性（I:L）。攻击者可利用此漏洞窃取会话Cookie、执行未授权操作或进行钓鱼攻击。