CVE-2015-20115RealtyScript 4.0.2版本存在严重的存储型跨站脚本(XSS)漏洞，该漏洞源于admin/tools.php中的文件上传功能未能对用户上传的文件内容进行充分的过滤和验证。攻击者可以通过构造包含恶意JavaScript代码的文件进行上传，当其他用户访问该文件时，恶意脚本将在其浏览器上下文中执行，从而窃取会话cookie、劫持用户账户或进行其他恶意操作。此漏洞无需认证即可利用，CVSS评分7.2，属于高危漏洞。
该漏洞的核心问题在于文件上传处理逻辑中缺少对文件内容的严格过滤。攻击者可直接向admin/tools.php的file POST参数提交包含恶意JavaScript的文件。服务器端未对上传文件的MIME类型、内容进行充分验证，导致恶意脚本被成功存储。当管理员或其他用户访问该文件时，浏览器会执行其中的JavaScript代码，从而触发XSS攻击。攻击者可以利用此漏洞窃取用户会话信息、执行任意操作或传播恶意内容。