关键信息 漏洞标题: Username normalization missing allows visually indistinguishable accounts (Whitespace-Based Impersonation) 报告编号: #3413764 报告人: yoyomiski 报告日期: November 6, 2025, 4:12am UTC 报告对象: Revive Adserver 版本: revive-adserver 6.0.2 严重性: Medium (5.4) CVE ID: CVE-2025-55127 弱点类型: Improper Neutralization of Whitespace 漏洞概述 Revive Adserver 允许创建包含前导或尾随空格的用户名（如 "admin " 或 " admin"）。用户界面未能在视觉上区分这些用户名和管理员账户，从而产生视觉上相同的账户。这可用于冒充管理员、混淆操作员和隐藏恶意活动。此问题主要是信息/UX漏洞，不会直接授予提升的权限，但会增加社会工程和审计/日志混淆的风险。 复现步骤 1. 用能创建用户的账户登录 Revive Adserver。 2. 进入 Users Access -> Add User。 3. 创建一个包含前导或尾随空格的用户名，如 " admin"。 4. 保存新用户。打开用户列表或任何显示用户名的UI——新账户在视觉上与管理员账户相同（或很难区分）。 影响 攻击者可以创建与特权账户相同的账户，便于冒充和社会工程攻击。 人类审查日志或UI可能会将动作误归因于合法管理员账户，使事件响应复杂化。