Contao评论组件爆跨站脚本漏洞：访客发评论即可攻击网站后台（CVSS 9.3）

华人空间10月22日讯——GitHub安全公告披露，PHP建站系统Contao的评论组件存在一个严重的跨站脚本（XSS）漏洞（CVE-2026-107845，公告编号GHSA-628f-v4f6-p37r），严重程度评分（CVSS）为9.3。任何互联网访客都可借此攻击网站后台管理人员。

据公告介绍，未经身份验证的前台访客可以在评论中注入恶意脚本；当网站后台用户打开评论管理模块时，脚本会在其浏览器中以该用户的会话权限执行。由于评论通常需要人工审核，后台人员打开评论模块几乎不可避免，这反而让攻击的曝光变得确定。此外，Contao后台未发送Content-Security-Policy安全响应头，没有额外的浏览器层防护来减轻影响。

Contao是一款在欧洲及全球拥有不少用户的PHP内容管理系统，常用于企业官网和机构网站。使用Contao的网站应立即将评论组件contao/comments-bundle升级至5.3.50或更高版本；使用5.7系列的用户应升级至5.7.12或更高版本。

业内人士指出，这类“前台注入、后台中招”的漏洞危害往往被低估：攻击者瞄准的不是普通访客，而是拥有最高权限的管理员。网站运营者除及时升级外，也应检查近期评论内容和管理员操作记录，确认没有异常。

来源：GitHub安全公告