CVE-2026-4264 BeeTienda 电商平台反射型 XSS 漏洞
影响攻击者可在受害者浏览器中执行任意 JavaScript 代码
BeeTienda 电商平台最新演示版本的商品列表接口存在反射型跨站脚本漏洞。由于对 search 参数的用户输入缺乏有效过滤与转义，恶意载荷会被不安全地输出到 HTML 响应中。攻击者可构造恶意链接诱导受害者访问，从而在其浏览器中执行任意脚本。
影响范围
受影响版本为 BeeTienda 电商平台最新演示版本（latest demo version），具体版本号暂无公开信息。
漏洞详情
该漏洞属于反射型 XSS，成因是商品列表端点的 search 参数未对用户输入进行充分的净化与 HTML 转义。当请求携带恶意脚本载荷时，服务端会将其原样嵌入返回的 HTML 页面中。受害者点击特制链接后，脚本即在其浏览器上下文中执行，可用于窃取 Cookie、会话令牌或实施钓鱼。
利用条件与风险
利用需诱导受害者点击包含恶意 search 参数的链接，属于典型反射型 XSS 场景。实战中可用于会话劫持、凭证窃取或页面篡改，风险取决于站点会话保护措施。
修复建议
官方修复方案暂无公开信息，建议对 search 参数实施严格的输入校验与输出 HTML 编码，并部署内容安全策略（CSP）作为临时缓解措施。
Reflected Cross-Site Scripting (XSS) on the BeeTienda e-commerce platform, specifically in the latest demo version. The incident occurs due to a lack of proper sanitization of user input data in the ‘search’ parameter of the product list endpoint. When malicious payloads are transmitted via the ‘search’ parameter, they are displayed insecurely in the HTML response, allowing for the arbitrary execution of JavaScript code in the victim’s browser.