CVE-2026-52774-YESWIKI-XSS

CVE-2026-52774-YESWIKI-XSS CVE-2026-52774 是 YesWiki 的 Bazar 组件处理器中存在的一个反射型 XSS 漏洞。NoSuchPage/widget 端点中的查询参数仅使用 striptags 进行过滤，而该函数不会转义双引号，导致过滤不充分。攻击者可借此突破 HTML 属性边界，将 JavaScript 事件处理器（如 onmouseover）注入到 data-iframeUrl 属性中。 该漏洞已在 4.6.6 版本中通过为 WidgetHandler 方法中的 $urlParams 添加 urlencode 得到修复。 🔬 漏洞详情...