CVE-2026-36392：RISE CRM 项目标题字段中的存储型 XSS

摘要

RISE CRM（RISE - Ultimate Project Manager & CRM）版本 <= 3.9.6 的项目标题字段中存在存储型跨站脚本（XSS）漏洞。经过身份验证的管理员可以向项目标题中注入任意 JavaScript，该脚本会存储在服务器端，并在任何客户端用户访问商店页面时于其浏览器中执行，从而可能导致会话劫持、账户接管和网络钓鱼。

详细信息

受影响组件

• 模块： 项目
• 注入端点： /index.php/items（编辑项目 → 标题字段）
• 触发端点： /index.php/store
• 参数： 项目标题
• 注入者角色： 管理员（已认证）
• 受害者角色： 客户端（已认证）

概念验证

1. 以管理员身份登录。
2. 导航至 /index.php/items 并编辑任意项目。
3. 将标题字段设置为：

4. 保存项目。
5. 在另一个会话中以客户端用户身份登录。
6. 导航至 /index.php/store。
7. 载荷在客户端的浏览器中执行，从而暴露会话 Cookie。

影响

• 通过 Cookie 外泄实现会话劫持
• 客户端账户接管
• 针对客户端用户的网络钓鱼和重定向攻击
• 在受害者的已认证上下文中执行未经授权的操作
• 影响所有在商店中查看项目的客户端用户，使其成为面向客户视图中的高影响存储型 XSS

修复建议

升级至 RISE CRM 4.0 或更高版本。供应商已对受影响字段添加输入验证。参考供应商变更日志：“在某些输入上添加了 XSS 验证。”

时间线

• 2026-02-24：通过 CodeCanyon 支持渠道向供应商报告
• 2026-02-25：供应商确认
• 2026-07-23：在版本 4.0 中修复
• 2026-05-05：MITRE 分配 CVE-2026-36392
• 2026-09-07：公开披露

参考

• 供应商产品页面：https://codecanyon.net/item/rise-ultimate-project-manager/15455641
• CVE 记录：https://www.cve.org/CVERecord?id=CVE-2026-36392

致谢

Moksh Jain - Linkedin