postbird 跨站脚本漏洞

postbird是一个应用软件。用于JavaScript编写的跨平台PostgreSQL GUI客户端，可与Electron一起运行。 Postbird 0.8.4版本中存在跨站脚本漏洞，该漏洞源于允许通过任何PostgreSQL数据库表中的IMG元素的onerror属性存储XSS。攻击者可以通过涉及XMLHttpRequest的向量读取本地文件并打开一个文件：URL，或者通过涉及Window的向量发现PostgreSQL密码。