CVE-2026-93514 Notification for Telegram 未认证 XSS 漏洞
影响未认证攻击者可注入恶意脚本，在受害者浏览器中执行
AI 研判
Notification for Telegram 3.5.2 及之前版本存在未认证跨站脚本（XSS）漏洞。攻击者无需登录即可注入恶意脚本，当用户访问受影响页面时脚本会在其浏览器中执行。该漏洞被评定为高危，CVSS 评分为 7.1。
影响范围
Notification for Telegram
Notification for Telegram 3.5.2 及更早版本受影响，具体修复版本暂无公开信息。
漏洞详情
该漏洞属于反射型或存储型跨站脚本（XSS），成因是插件对用户可控输入未做充分的输出编码或过滤。未认证攻击者可构造包含恶意脚本的请求或内容，诱导受害者访问后脚本在受害者浏览器上下文中执行。
利用条件与风险
利用无需认证，攻击者可通过诱导用户点击恶意链接或访问被注入页面触发，可能导致会话劫持、页面篡改或敏感信息窃取。
修复建议
建议升级至官方修复版本（暂无公开的具体版本号），或临时禁用该插件、对输入进行严格过滤与输出编码。
原始情报
Unauthenticated Cross Site Scripting (XSS) in Notification for Telegram <= 3.5.2 versions.