CVE-2026-26211：Ekushey Project Manager CRM 中的存储型 XSS

产品： Ekushey Project Manager CRM
版本： 5.0
漏洞： 存储型跨站脚本（XSS）
CWE： CWE-79
研究人员： LINDAN TRI SAPUTRA
初始报告： 2026 年 8 月 1 日

---

摘要

在 Ekushey Project Manager CRM 5.0 版本中发现了一个存储型跨站脚本（XSS）漏洞。该问题存在于应用程序设置中，具体位于 Name 字段内。用户可控的 HTML 输入在存储时未经过适当的清理或输出编码，导致页面渲染时执行任意 JavaScript。

---

受影响组件

设置 → Name

• 配置的应用程序名称存储在数据库中。
• 随后在应用程序界面中显示时未进行适当的转义。
• 任何查看渲染后名称的已认证用户（管理员、员工或客户）都会受到该漏洞的影响。

---

概念验证（PoC）

1. 以管理员身份登录应用程序。
2. 导航至 设置。
3. 找到系统 Name 字段。
4. 插入以下无害的 XSS 测试载荷：

5. 保存设置。
6. 打开任何显示所配置应用名称的页面（例如仪表盘、页眉、电子邮件）。

存储的值被渲染时，JavaScript 便会执行。

---

影响

由于载荷存储在应用程序中，该问题会影响所有用户，而不仅仅是最初修改该设置的管理员。根据应用名称的渲染位置以及哪些用户可以访问这些页面，存储的载荷可能会在员工、客户或其他已认证用户的浏览器中执行。

潜在影响包括：

• 在受影响用户的浏览器中执行任意 JavaScript
• 应用程序 UI 操纵（例如篡改页面、伪造通知）
• 在受信任的应用程序源内进行钓鱼或欺骗
• 在受害者的已认证应用程序上下文中执行操作（会话劫持、CSRF 绕过）

---

视频概念验证

CVE-2026-26211 的视频演示如下：

点击图片在 YouTube 上观看 PoC

直接链接： https://youtu.be/b8gRD9jpvak?si=otEalAgZexiENIfh

---

披露时间线

日期	事件
2026 年 8 月 1 日	漏洞已提交至 VulnCheck
2026 年 8 月	VulnCheck 验证了提交内容并确认其符合 CVE 分配条件
2026 年 8 月	分配 CVE-2026-26211
2026 年 8 月 25 日	应 VulnCheck 的要求发布公开技术披露

---

研究人员

LINDAN TRI SAPUTRA
独立安全研究员
GitHub：https://github.com/LindHunt

---

参考资料

• CVE-2026-26211：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-26211
• CWE-79：网页生成期间输入中和不当（XSS）
  https://cwe.mitre.org/data/definitions/79.html

---

免责声明

本报告仅供教育和安全意识目的提供。所识别的漏洞已在公开发布之前以负责任的方式披露给供应商或相关协调机构（VulnCheck）。未经授权利用此漏洞是非法的，且不道德。

---

给开发者的建议

要修复此漏洞：

• 在渲染用户可控输入时应用上下文感知的输出编码。
• 对所有设置字段实施严格的输入验证和清理。
• 使用内容安全策略（CSP）标头以缓解 XSS 风险。
• 考虑使用 HTML Purifier 或类似库来过滤富文本输入。

---

保持安全，保持警惕。