漏洞概述
OpenLiteSpeed 1.7.9 版本中存在一个存储型跨站脚本（Stored XSS）漏洞，位于管理面板的“Notes”参数中。攻击者可利用该漏洞在监听器配置的 Notes 字段中注入恶意脚本，当管理员点击“Default Icon”时，脚本将被执行。
漏洞详情
- CVE 编号：CVE-2021-47855
- 漏洞类型：存储型跨站脚本（Stored XSS，CWE-79）
- CVSS 评分：CVSS v3.1 基础评分为 7.2（HIGH），CVSS v4.0 基础评分为 5.1（MEDIUM）
- 影响版本：OpenLiteSpeed 1.7.9
影响范围
该漏洞影响 OpenLiteSpeed 1.7.9 版本的 Web 管理控制台。任何使用该版本并启用了管理面板的部署环境均可能受到影响。
风险分析
由于该漏洞属于存储型 XSS，攻击者可通过构造恶意 payload 注入到 Notes 字段中，并在其他具有管理员权限的用户访问特定界面（如点击 Default Icon）时自动触发。攻击可能导致会话劫持、管理员操作伪造、敏感信息泄露等后果，尤其在具备高权限上下文中危害较大。
修复建议
- 建议升级至 OpenLiteSpeed 官方发布的最新安全版本，以修复该 XSS 漏洞。
- 如暂时无法升级，应限制对管理面板的访问权限，仅允许可信用户进行配置操作，并避免在 Notes 字段中输入或展示不可信内容。
