你好，
我在 nilsteampassnet/teampass 应用程序中发现了一个重大漏洞，涉及 FolderName 字段中的存储型 HTML 注入。通过在 FolderName 字段中插入恶意 HTML 代码，攻击者能够更改文件夹名称。
当管理员与受感染的文件夹交互时，注入的载荷可能会被执行，从而为各种潜在攻击打开大门。注入的 HTML 代码可能包含恶意脚本、iframe 或其他组件，这些组件旨在攻击管理员的系统并危害其安全。
如果该漏洞被利用，可能会产生严重后果：
数据窃取：当管理员与受影响的文件夹交互时，可能会注入恶意代码以收集私人数据，包括登录信息、个人信息和其他敏感数据。被盗数据可能被用于金融欺诈、身份盗窃和其他恶意活动。
重定向攻击：插入的代码可能会将管理员重定向到攻击者控制的网站。这使攻击者能够影响管理员的上网行为，可能使其遭受更多攻击或钓鱼活动。
此漏洞已在 TeamPass 3.0.9 版本中修复。
如果您有兴趣了解更多关于我的发现，请查看 huntr.dev 上的报告链接。
您还可以关注我，获取我的研究及其他安全相关主题的最新动态：
注意安全！
