关键信息 漏洞概述 CVE编号: CVE-2025-60374 类型: 存储型跨站脚本（XSS） 描述: 在Perfect CRM的聊天功能中发现了一个关键的存储型跨站脚本漏洞。此漏洞允许攻击者在服务器上存储HTML和JavaScript代码，并在用户查看消息时执行。 影响版本 产品: Perfect CRM 供应商: Fox CRM 易受攻击版本: < 3.3.1 修复版本: 3.3.1 漏洞详情 CVE ID: CVE-2025-60374 类型: 存储型跨站脚本（XSS） CWE: CWE-79 攻击向量: 网络/浏览器 认证要求: 需要（低特权） 用户交互: 最小化 发现者: Ajansha Shankar 根因 不充分的输入验证或字符消息参数编码 输出编码不当，导致恶意消息被渲染 敏感内容未标记为安全 缺乏内容安全策略（CSP） 影响 安全性影响: - 会话劫持：攻击者可以窃取会话令牌并访问用户账户 - 账户接管：完全控制受害者的账户 - 权限提升：管理员账户可能被利用来发送恶意消息 - 数据泄露：访问用户浏览器上下文中的敏感信息 - 钓鱼攻击：修改页面内容并重定向用户 CIA三元评估 机密性: 高（会话令牌和敏感数据可能被盗） 完整性: 高（未经授权的操作可以以受害者身份执行） 可用性: 中（对系统可用性的有限影响） 概念验证（PoC） PoC 1: 基本图像XSS PoC 2: 交互按钮XSS PoC 3: 自动播放嵌入内容 PoC 4: 事件触发XSS 实际攻击场景 Cookie窃取示例: 攻击载荷将受害者的会话cookie发送到攻击者控制的服务器，从而实现完整的账户接管。 缓解措施 最终用户: 1. 立即升级到Perfect CRM 3.3.1或更高版本 2. 审核消息流，过滤可疑的HTML/JavaScript内容 3. 重置会话：强制所有用户在打补丁后重新认证 4. 监控日志：检查异常聊天活动 开发者: - 立即修复： - 长期安全改进： 1. 内容安全策略（CSP） 2. HttpOnly Cookies 3. 输入验证库 ``` 这些信息提供了关于CVE-2025-60374漏洞的关键细节，包括其类型、影响范围、根本原因、潜在影响以及缓解措施。