关键信息 漏洞类型 Stored XSS 影响版本 修复版本 严重性 CVSS v4 基本指标 - 攻击向量: 网络 - 攻击复杂度: 低 - 攻击需求: 存在 - 所需权限: 低 - 用户交互: 被动 - 受影响系统影响指标: - 机密性: 无 - 完整性: 无 - 可用性: 无 - 后续系统影响指标: - 机密性: 高 - 完整性: 无 - 可用性: 无 CWE ID CWE-79: 不正确的输入中和（跨站脚本） CVE ID CVE-2025-48488 弱点 CWE-79 描述 应用程序由于对用户输入数据的不正确验证和清理，易受跨站脚本（XSS）攻击。攻击者可以将任意HTML代码注入到由用户浏览器处理的页面中，从而窃取敏感数据、劫持用户会话或进行其他恶意活动。 实施场景 实施选项 利用条件 授权用户 缓解措施 输入验证和清理：所有用户提供的用于生成网页的数据必须经过初步转换以防止潜在的安全漏洞。 使用 函数。 综合方法包括代码和服务器配置更改以及技术安全措施： - 利用提供自动输入验证和过滤的框架来防止XSS攻击。 - 在Web应用程序代码中，在HTTP请求的上下文中转义未信任的数据（body、属性、JavaScript、CSS或URL）。 - 避免使用可能被攻击者利用的潜在脆弱DOM对象。 - 启用内容安全策略（CSP）。 - 配置会话cookie时使用secure和httpOnly标志。 - 返回文件时使用正确的MIME类型或使用Content-Disposition：attachment和Content-Type：application/octet-stream强制下载。 研究 研究人员发现FreeScout中的零日漏洞“Stored XSS”。 在调查过程中，发现利用漏洞1.13或1.14删除 文件允许攻击者上传包含恶意JavaScript代码的HTML文件到服务器，从而导致XSS漏洞。