CVE-2026-37196 – nirix traq v3.9.0 中的存储型跨站脚本（XSS）漏洞

概述

在 nirix traq v3.9.0 中存在一个存储型跨站脚本（XSS）漏洞，用户在工单描述字段中提供的输入在应用程序界面渲染前未得到正确清理。

该漏洞允许已认证的攻击者将恶意 JavaScript 载荷注入工单描述。该载荷会被应用程序存储，并在其他用户（包括管理员等特权用户）查看受影响的工单时间线或渲染组件时执行。

• CVE ID： CVE-2026-37196
• 漏洞类型： 存储型跨站脚本（CWE-79）
• 厂商： nirix
• 产品： traq
• 受影响版本： 3.9.0
• 攻击类型： 远程
• 严重性： 高危
• 研究人员： Pavan V

漏洞摘要

此问题的发生是因为用户可控的 HTML/JavaScript 输入在未经正确的输出编码或清理的情况下被渲染。

已认证的攻击者可以创建或修改工单，并向描述字段中插入恶意载荷。当其他用户查看受影响的工单时，注入的脚本会在受害者的浏览器上下文中执行。

这可能导致：

• 任意 JavaScript 执行
• 会话劫持
• 以受害者身份执行未授权操作
• 敏感信息窃取
• 在某些场景下实现权限提升

受影响组件

工单描述字段 / 时间线渲染组件

当包含恶意 HTML 或 JavaScript 的工单描述在应用程序界面中被渲染且未进行充分转义时，即会触发该漏洞。

概念验证（PoC）

示例载荷

复现步骤

1. 使用有效用户帐户登录 traq v3.9.0 实例。
2. 导航到工单创建功能。
3. 创建新工单。
4. 将恶意载荷插入描述字段。

示例：

5. 保存工单。
6. 使用其他用户帐户或特权帐户打开或预览该工单。
7. 观察发现，当描述被渲染时，JavaScript 载荷会自动执行。

安全影响

成功利用该漏洞可能允许攻击者：

• 在受害者浏览器中执行任意 JavaScript
• 访问已认证的会话信息
• 以受影响用户的身份执行操作
• 篡改工单内容
• 可能以管理员为攻击目标以滥用权限

根本原因

应用程序在浏览器中渲染工单描述之前，未能正确清理或编码用户可控的输入。

用户输入被存储并在之后渲染，但缺乏针对 HTML/JavaScript 注入的充分防护。

缓解措施

建议采取以下缓解措施：

• 正确清理用户可控的 HTML 内容
• 应用上下文相关的输出编码
• 使用基于白名单的 HTML 清理器
• 部署强健的内容安全策略（CSP）
• 避免渲染来自用户输入的原始 HTML

时间线

免责声明

本仓库仅出于安全研究与防御意识教育目的发布。所提供的信息旨在帮助开发者和防御者理解并修复该问题。

致谢

发现者： Pavan V