平台
nodejs
组件
dbgate-web
修复版本
7.1.1
7.1.2
7.1.3
7.1.4
7.1.5
7.1.5
CVE-2026-6216 描述了 dbgate-web 在 7.1.4 之前的版本中发现的跨站脚本 (XSS) 漏洞。该漏洞允许攻击者通过远程操控 applicationIcon 参数，利用 packages/web/src/icons/FontIcon.svelte 文件中的未知功能执行恶意脚本。建议用户尽快升级到 7.1.5 版本以修复此安全问题。
此 XSS 漏洞允许攻击者在受影响的 dbgate-web 应用程序中注入恶意脚本。攻击者可以利用此漏洞窃取用户会话 cookie、重定向用户到恶意网站或执行其他恶意操作。由于漏洞可以远程利用，且攻击已公开披露，因此存在被利用的风险。攻击者可能利用此漏洞获取敏感数据，例如数据库连接凭据，并进行进一步的攻击。
该漏洞已公开披露，并且存在公开的利用代码。由于漏洞的严重性较低，且需要一定的技术知识才能利用，因此目前尚未观察到大规模的利用活动。CISA 尚未将其添加到 KEV 目录中。建议密切关注漏洞的动态，并采取适当的缓解措施。
Organizations and individuals using DbGate for database management, particularly those relying on older versions (prior to 7.1.5), are at risk. Shared hosting environments where multiple users share the same DbGate instance are particularly vulnerable, as an attacker could potentially exploit the vulnerability to compromise other users' accounts.
• nodejs / server:
grep -r 'applicationIcon' ./packages/web/src/• generic web:
curl -I <dbgate_url>/packages/web/src/icons/FontIcon.svelte | grep -i 'content-type'disclosure
patch
漏洞利用状态
EPSS
0.03% (9% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是立即升级 dbgate-web 到 7.1.5 或更高版本。如果无法立即升级，可以考虑使用 Web 应用程序防火墙 (WAF) 来过滤恶意输入。此外，应审查 dbgate-web 的配置，确保没有不必要的权限或功能启用。监控 dbgate-web 的日志文件，查找可疑活动，例如异常的 URL 请求或脚本执行。
将 DbGate 升级到 7.1.5 或更高版本，以缓解 SVG 图标处理中的跨站脚本 (XSS) 漏洞。此更新修复了图标参数处理方式，防止恶意代码注入。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-6216 是 dbgate-web 在 7.1.4 之前的版本中发现的跨站脚本 (XSS) 漏洞，允许攻击者通过远程操控 applicationIcon 参数注入恶意脚本。
如果您正在使用 dbgate-web 7.1.4 或更早版本，则可能受到此漏洞的影响。请尽快升级到 7.1.5 或更高版本。
升级 dbgate-web 到 7.1.5 或更高版本是修复此漏洞的最佳方法。如果无法立即升级，请考虑使用 WAF 或审查配置。
该漏洞已公开披露，并且存在公开的利用代码，但目前尚未观察到大规模的利用活动。
请访问 dbgate 官方网站或 GitHub 仓库，查找关于 CVE-2026-6216 的安全公告。