CVE-2026-59668 Repasat 跨站脚本漏洞

Repasat 应用存在跨站脚本（XSS）漏洞，受影响参数为 nomTamano，位于 /es/companysizebills/store 端点。攻击者可通过构造恶意输入诱使用户触发，从而在受害者浏览器上下文中执行任意脚本代码。

影响范围

Repasat

受影响版本范围暂无公开信息，仅确认 Repasat 应用的 /es/companysizebills/store 端点及 nomTamano 参数存在该问题。

漏洞详情

该漏洞属于跨站脚本（XSS），成因是应用未对用户可控的 nomTamano 参数进行充分的输入过滤或输出编码。攻击者可将恶意脚本注入该参数，当页面渲染该内容时脚本在受害者浏览器中执行。利用方式通常为诱导用户点击特制链接或提交恶意表单。

利用条件与风险

利用需诱导受害者访问特制请求或页面，属于需要用户交互的场景；成功利用可窃取会话、篡改页面或进行钓鱼，实战风险中等。

修复建议

官方修复方案暂无公开信息，建议关注厂商更新并及时升级；临时缓解措施包括对 nomTamano 参数进行输入校验与输出编码，并部署 WAF 规则拦截恶意脚本。

Cross-Site Scripting vulnerability in the Repasat application. Successful exploitation of this vulnerability could allow an attacker to trick a user into executing arbitrary code in the victim’s browser. The “nomTamano” parameter is affected – endpoint “/es/companysizebills/store”.