安全研究员在开源Go语言RSS阅读器yarr中发现了一个XSS漏洞。该漏洞源于HTML沙盒逻辑中的缺陷，`iframe`标签和`src`属性被错误地加入允许列表，可能导致恶意RSS源渲染时发生跨站脚本攻击。
背景
yarr是一款流行的开源RSS阅读器，用Go语言编写，常用于家庭实验室环境。RSS阅读器中的XSS漏洞尤为危险，因为只需订阅恶意源即可触发攻击。
- 来源
- Lobsters
- 发布时间
- 2026年10月30日 07:55
- 评分
- 7.0 / 10
安全研究员在开源Go语言RSS阅读器yarr中发现了一个XSS漏洞。该漏洞源于HTML沙盒逻辑中的缺陷，`iframe`标签和`src`属性被错误地加入允许列表，可能导致恶意RSS源渲染时发生跨站脚本攻击。
yarr是一款流行的开源RSS阅读器，用Go语言编写，常用于家庭实验室环境。RSS阅读器中的XSS漏洞尤为危险，因为只需订阅恶意源即可触发攻击。