Anchorr: 用户映射下拉框中的存储型 XSS 漏洞允许非特权 Discord 用户通过 /api/config 窃取所有密钥

该 XSS 漏洞的影响非常严重。攻击者可以利用用户映射下拉菜单执行恶意 JavaScript 代码，从而完全控制 Anchorr 管理员的浏览器。更糟糕的是，攻击者可以通过访问 /api/config 端点获取所有存储的凭据，包括 Discord 令牌 (DISCORD_TOKEN) 和 Jellyfin/Jellyseerr API 密钥。这些凭据可以被用于接管 Discord 服务器、访问媒体库，甚至进一步进行横向移动攻击。由于 Anchorr 广泛应用于媒体服务器管理，因此该漏洞的潜在影响范围非常广，可能导致大规模的数据泄露和系统控制。

Discord server owners and administrators using Anchorr are at significant risk. Specifically, those who have configured the web dashboard with broad access permissions or have not implemented strong authentication measures are particularly vulnerable. Shared hosting environments where multiple Discord bots are hosted on the same server also increase the risk of lateral movement.

• nodejs / server: Monitor Anchorr logs for unusual JavaScript execution patterns. Use lsof or ss to check for unexpected network connections from the Anchorr process.

lsof -i -p $(pidof anchorr)

• generic web: Examine the web dashboard's User Mapping dropdown for suspicious input fields or unusual behavior. Check access logs for requests to /api/config from unauthorized users.

grep '/api/config' /var/log/apache2/access.log

1. 2026-03-20Disclosure

   disclosure

1. 已保留2026-03-16
2. 发布日期2026-03-20
3. EPSS 更新日期2026-03-27

最有效的缓解措施是立即将 Anchorr 升级至 1.4.2 版本。如果升级过程出现问题，可以考虑回滚到之前的稳定版本，但请注意这并不能完全消除风险。作为临时措施，可以尝试限制用户映射下拉菜单的输入长度，并对输入进行严格的验证和过滤，以防止恶意脚本注入。此外，建议定期审查 Anchorr 的配置，确保所有敏感凭据都已妥善保管，并限制对 /api/config 端点的访问权限。如果使用 WAF 或代理服务器，可以配置规则来检测和阻止潜在的 XSS 攻击。