关键信息 漏洞详情 CVE编号: CVE-2025-60318 发现者: Ivan Cose (https://www.linkedin.com/in/ivancose/) 受影响产品: Pec Grooming Management 1.0 厂商: Sourcecodester 漏洞类型: 存储型跨站脚本（XSS） 描述 Sourcecodester的Pec Grooming Management Software 1.0存在存储型跨站脚本（XSS）漏洞，允许认证用户在“FirstName”和“LastName”字段中存储恶意JavaScript。当渲染时，应用程序执行该脚本，导致存储型XSS漏洞。 影响 远程代码执行 真实重要信息泄露 重现步骤 1. 访问数据库并查看顶部右角登录用户的个人资料。 2. 点击个人资料图标进入编辑部分。 3. 在易受攻击的“FirstName”和“LastName”字段中插入有效载荷。 4. 使用Proxy Bypass Suite拦截请求，并发送潜在恶意的有效载荷而不是原始值。 5. 首先执行潜在恶意的有效载荷。 6. 再次执行。 警告 恶意脚本自动在每个访问者的浏览器中执行，窃取cookie、令牌或其他敏感数据。 攻击者可以劫持经过身份验证的会话或代表用户执行操作，破坏访问控制。 有效载荷提供给所有受影响资源的查看者，因此影响随着页面流量和用户特权而扩大。 数据泄露和未经授权的操作损害用户信任，并可能引发监管、法律或业务后果。 缓解措施 1. 输入验证和输出编码：彻底验证和转义所有用户提供的数据，然后再将其呈现到浏览器中。 2. 内容安全策略（CSP）：强制实施严格的CSP头以限制未经授权的脚本和内容的执行。 3. HTTP Only和安全Cookie：保护会话令牌免受客户端攻击，并确保它们仅通过加密连接提交。 4. 模板安全功能：利用模板引擎和构建服务器端渲染机制以最小化人为错误。 5. 定期安全审查：进行代码审计和动态测试以识别和修复注入漏洞。