CVE-2026-105318 AcyMailing SMTP Newsletter 反射型 XSS 漏洞
影响攻击者可诱导用户触发反射型 XSS，窃取会话或执行恶意脚本
AI 研判
AcyMailing SMTP Newsletter 是 Datasolution 推出的邮件营销与 SMTP 新闻通讯组件。该组件在生成网页时未正确中和用户输入，存在反射型跨站脚本（XSS）漏洞。攻击者可构造恶意链接，在受害者浏览器中执行任意脚本。
影响范围
AcyMailing SMTP Newsletter
受影响版本为 AcyMailing SMTP Newsletter 11.1.0 及之前版本（from n/a through 11.1.0）。
漏洞详情
漏洞类型为反射型跨站脚本（Reflected XSS），成因是网页生成过程中对用户可控输入未做充分的转义或过滤。攻击者可将恶意脚本嵌入请求参数并构造链接，诱导受害者点击后脚本在受害者浏览器上下文中执行。
利用条件与风险
利用需诱导受害者访问特制链接，属于需要用户交互的攻击场景；成功利用可窃取 Cookie、会话令牌或进行页面篡改，实战风险较高。
修复建议
建议升级至官方修复版本（暂无公开的具体修复版本号）；临时缓解措施包括对输入进行严格过滤与输出编码，并部署内容安全策略（CSP）。
原始情报
Improper Neutralization of Input During Web Page Generation (‘Cross-site Scripting’) vulnerability in Datasolution AcyMailing SMTP Newsletter acymailing allows Reflected XSS.This issue affects AcyMailing SMTP Newsletter: from n/a through 11.1.0.