关键信息 漏洞概述 漏洞类型: 存储型XSS 受影响软件: OnlyOffice Community Server 受影响版本: 12.7.0 CVE编号: CVE-2025-10254 严重性: 中等 (CVSS Score: 4.6) 描述 在OnlyOffice中，用户可以创建项目并添加评论。虽然允许HTML输入，但它也允许嵌入包含JavaScript的SVG图像，从而导致XSS漏洞。 复现步骤 1. 访问项目评论页面: 2. 在评论部分输入原始HTML。 3. 利用 标签加载base64编码的SVG图像来触发漏洞。 PoC Payload 将以下SVG代码转换为base64编码: 使用base64编码值创建payload: 当SVG图像加载时，警报将被执行。