CVE-2026-94066 SpabRice Pond 反射型跨站脚本漏洞

SpabRice Pond 在网页生成过程中未对用户输入进行正确中和，存在反射型跨站脚本（XSS）漏洞。该问题影响 Pond 2.6.1 及之前版本。攻击者可通过构造恶意链接诱导用户点击，从而在受害者浏览器中执行任意脚本。

影响范围

SpabRice Pond

Pond 从 n/a 至 2.6.1 版本受影响，具体起始版本暂无公开信息。

漏洞详情

漏洞类型为反射型跨站脚本（CWE-79），成因是应用在生成网页时未对用户可控输入做充分的转义或过滤。攻击者将恶意脚本嵌入请求参数或 URL 中，受害者访问特制链接后脚本即在页面上下文中执行。

利用条件与风险

利用需诱导受害者点击恶意链接或访问被篡改页面，属于典型客户端攻击，可导致会话劫持、敏感信息窃取等风险。

修复建议

建议升级至 Pond 2.6.1 之后的修复版本；临时缓解措施包括对用户输入进行严格转义与过滤、部署内容安全策略（CSP）等，具体官方补丁信息暂无公开信息。

Improper Neutralization of Input During Web Page Generation (‘Cross-site Scripting’) vulnerability in SpabRice Pond pond allows Reflected XSS.This issue affects Pond: from n/a through 2.6.1.