CVE-2026-94171 CURCY 未认证跨站脚本漏洞
影响未认证攻击者可注入恶意脚本，劫持用户会话或窃取敏感信息
AI 研判
CURCY 2.2.16 及之前版本存在未认证跨站脚本（XSS）漏洞。攻击者无需登录即可注入恶意脚本，在受害者浏览器中执行。该漏洞被评定为高危，CVSS 评分 7.1。
影响范围
CURCY
CURCY 2.2.16 及更早版本受影响，具体受影响范围以厂商公告为准。
漏洞详情
该漏洞属于反射型或存储型跨站脚本（XSS），成因是应用未对用户可控输入进行充分的输出编码或过滤。未认证攻击者可构造包含恶意脚本的请求，诱导受害者访问后脚本在其浏览器上下文中执行。
利用条件与风险
利用无需认证，攻击者可通过钓鱼链接等方式诱导用户触发，实战中可用于会话劫持、页面篡改或信息窃取。
修复建议
建议升级至 CURCY 2.2.16 之后的修复版本；临时缓解措施包括对输入进行严格过滤与输出编码，并部署 WAF 拦截恶意脚本。具体修复版本暂无公开信息。
原始情报
Unauthenticated Cross Site Scripting (XSS) in CURCY <= 2.2.16 versions.