关键漏洞信息 漏洞类型 Stored Cross-Site Scripting (XSS) 影响版本 Affected versions: <= 25.6.0 Patched versions: 25.8.0 漏洞描述 在LibreNMS（<= 25.6.0）的Alert Template创建功能中存在存储型XSS漏洞。具有admin角色的用户可以注入恶意JavaScript，当模板被渲染时执行，可能危及其他admin账户。 漏洞细节 当具有admin角色的用户访问/templates并点击"Create new alert template"时，"Template name"字段未能正确清理输入。 插入类似 的payload，并用任意内容填充其他字段（如test），保存模板后，脚本被执行。 用户输入被存储并在未进行适当输出编码的情况下再次渲染。 利用方式 登录LibreNMS使用具有admin角色的账户。 导航至http://localhost:8000/templates。 点击"Create new alert template"按钮。 在Template name字段中输入 。 填充剩余字段（Template, Alert title, Recovery title）为任意内容，如test。 点击"Create template"。 保存后，JavaScript警告弹出，确认存储的XSS被触发。 影响范围 受影响用户: 只有访问Alert Templates页面（http://localhost:8000/templates）的具有admin角色的账户受到影响。 攻击者需求: 需要经过身份验证的admin级别访问权限。 CVSS评分 Severity: Moderate (5.5/10) Attack vector: Network Attack complexity: Low Privileges required: High User interaction: None Scope: Changed Confidentiality: Low Integrity: Low Availability: None CVE ID CVE-2025-5296 弱点 CWE-79