litemall 商品详情在公开 Vue 页面存在存储型 XSS 漏洞

## 漏洞概述

litemall 的商品详情可由具备商品新增或编辑权限的后台用户写入，但服务端保存前未对 `goods.detail` 进行安全过滤。公开商品详情页随后通过 Vue 的 `v-html` 直接渲染该字段，形成存储型 XSS。

## 影响版本

已静态核对 v1.4.0、v1.5.0、v1.6.0、v1.7.0、v1.8.0 及当前 master（commit `a1ef964a718b7277925b19ea26afe78ea3a1d325`）均存在该链路。

## 数据流与代码位置

1. 后台写入入口：
   - `POST /admin/goods/create`，权限 `admin:goods:create`
   - `POST /admin/goods/update`，权限 `admin:goods:update`
   - `AdminGoodsService.validate` 校验商品名、货号、分类、品牌、规格和价格等字段，但不清洗 `GoodsAllinone.goods.detail`；随后 `goodsService.add/updateById` 将其原样持久化。
2. 公开读取入口：
   - `GET /wx/goods/detail?id=...` 返回数据库中的商品对象；源码明确说明用户可以不登录。
3. 危险渲染点：
   - `litemall-vue/src/views/items/detail/index.vue:48` 使用 `v-html="goods.info.detail"`。

初始化 SQL 中启用的“商场管理员”角色包含商品新增、编辑权限，因此写入者不必控制超级管理员账号；受影响页面可由匿名访客打开，攻击者与受害者可以是不同主体，并非 self-XSS。

## 影响

当有商品编辑权限的低权限后台角色保存恶意 HTML 后，访问对应公开商品详情页的其他用户会在 litemall 前端域中触发脚本执行，可能影响同源页面数据与用户操作。

本问题已在授权的本地测试环境中以无害方式确认跨用户触发。为避免扩散可直接复用的攻击内容，此处不附可执行 payload。

建议分类：CWE-79。建议 CVSS 3.1：`CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N`（5.4）。

## 修复建议

- 对允许富文本的商品详情使用可靠的 HTML allowlist sanitizer，并在服务端统一执行；
- 如果业务不需要富文本，改用文本插值而不是 `v-html`；
- 禁止危险标签、事件属性和危险 URL scheme，并增加回归测试。

## 查重与独立性说明

已检索公开 Issue、CVE、GHSA 和 VulDB，未发现覆盖本精确 `goods.detail -> /wx/goods/detail -> v-html` 链路的记录。现有 GitHub Issue #567 是上传并公开提供活动文件导致的 XSS，涉及不同输入字段、接口、存储对象与修复位置。

本问题与专题正文问题也应分别修复：二者使用不同模型字段、写入 Controller/Service、默认业务角色、公开读取路由、受影响版本下界和前端文件。

源码：https://github.com/linlinjava/litemall

linlinjava / litemall

内容风险标识

评论 (0)

linlinjava / litemall .gitee-modal { width: 500px !important; }

内容风险标识