待验证50% 置信事实精确时间
据XBOW表示，该攻击在修复前从未被用于真实用户。
1
来源数
50%
置信度
长期有效
时效性
2026/10/14
首次发现
来源
涉及实体
相关事实
待验证XBOW未在此次通信中公布具体漏洞编号、使用的技术组件或完整的利用代码，仅给出了结果性描述。63% 相似待验证存储在内存中的Token在页面刷新后会丢失，但因XSS攻击无法通过document.cookie或localStorage读取而安全性较高58% 相似待验证该攻击并未破解任何加密算法，加密是在服务器端完成的，没有密码学被攻破56% 相似待验证早期版本的 Marked.js（CVE-2017-1000427）和 showdown 等库曾因对用户输入过滤不足导致 XSS 漏洞被公开披露53% 相似待验证攻击者获取refresh_token后即可持续刷新获得新访问权限，即便用户修改密码，已泄露Token在过期前仍可被持续滥用，这称为会话劫持53% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1027861API
curl https://kongchang.com/api/v1/knowledge/claims/1027861MCP
get_claim(id=1027861)