CVE-2018-25131CVE-2018-25131是Leica Geosystems公司生产的GNSS（全球导航卫星系统）接收器设备中存在的一个高危安全漏洞。该漏洞影响GR10、GR25、GR30、GR50系列型号的4.30.063固件版本。漏洞类型为存储型跨站脚本（Stored XSS），存在于设备的配置文件上传功能中。攻击者可以通过该功能上传包含恶意JavaScript代码的HTML文件，当其他用户访问或查看该文件时，恶意代码会在用户浏览器上下文中执行，从而窃取用户会话信息、劫持用户账户或进行其他恶意操作。由于该漏洞无需认证即可利用，且攻击复杂度较低，因此具有较高的安全风险。CVSS评分7.2分，属于高危级别漏洞。
该漏洞源于Leica Geosystems GNSS接收器的配置文件上传功能对用户输入缺乏充分的输入验证和输出编码。攻击者可以构造包含恶意JavaScript脚本的HTML文件，通过设备的配置上传接口将其存储在服务器上。由于系统未对上传内容进行安全过滤，当其他用户查看该配置文件时，浏览器会解析并执行其中的恶意脚本代码。攻击者利用此漏洞可以绕过同源策略限制，窃取受害者的Cookie、会话令牌或其他敏感信息，甚至可以通过社会工程学手段诱导用户执行进一步的攻击操作。攻击者还可以修改页面内容进行钓鱼攻击，或利用已获取的会话信息对设备进行进一步的操作和控制。