KGS tia Viewer 受 Stored XSS 漏洞影響，1.2.8 前版本易被利用
Vulnerability in KGS Software tia Viewer software
AI 導讀
KGS Software tia Viewer 於 2026 年 10 月 27 日發現一個 Stored XSS 漏洞，所有 1.2.8 前版本皆易受攻擊。
推薦理由
此漏洞暴露了 KGS tia Viewer 在注釋 API 中的 Stored XSS，允許已授權攻擊者注入任意 JavaScript，當使用者開啟檔案時瀏覽器執行，可能導致會話被劫持。建議立即升級至 1.2.8 以修補此問題並強化輸入驗證。
正文 · AI 翻譯
KGS Software tia Viewer 軟體漏洞
| CVE ID | CVE-2026-105987 |
| 釋出日期 | 27 October 2026 |
| 供應商 | KGS Software |
| 產品 | tia Viewer |
| 易受攻擊版本 | All before 1.2.8 |
| 漏洞型別 (CWE) | 在網頁生成時未正確中和輸入（跨站指令碼） (CWE-79) |
| 報告來源 | 報告給 CERT Polska |
說明
CERT Polska 已收到關於 KGS Software tia Viewer 軟體漏洞的報告，並參與協調其公開。
漏洞 CVE-2026-105987：KGS Software tia Viewer 易受透過標註 API 的儲存型 XSS 攻擊。由於缺乏輸入驗證，已驗證的攻擊者可將任意 JavaScript 程式碼注入到便條標註中。當任何使用者開啟檔案時，檢視器會渲染該標註，瀏覽器將執行程式碼，可能導致使用者會話被竊取。
此問題已於 1.2.8 版修復。
致謝
感謝 Dawid Dudek (4c1d8urn) 提供負責任的漏洞報告。
有關 CERT Polska 協調漏洞披露流程的更多資訊，請參閱 https://cert.pl/en/cvd/。