CVE-2022-40317

CVE-2022-40317 备注中的存储型 XSS 在对一个使用 OpenKM 的客户进行渗透测试时，我们在应用程序的备注部分发现了一个存储型 XSS。基本上，在存储备注时，某些普通 HTML 被允许并按原样渲染。如你所知， 然而，我们发现，在 标签中使用 "javascript:" 可以绕过该清理/替换规则。 要复现该问题，你可以在备注部分提交以下载荷。 Click here for more info 要触发该载荷，需要诱使用户点击它。 影响：低权限用户可以提交恶意 javascript...