CVE-2023-53985CVE-2023-53985是Zstore（现称为Zippy CRM）6.5.4版本中存在的一个反射型跨站脚本攻击（Reflected XSS）漏洞。该漏洞源于应用程序对用户输入参数缺乏充分的验证和过滤，攻击者可以通过构造恶意的Payload并将其注入到URL参数或表单输入中。当受害者点击包含恶意脚本的链接时，攻击者可以在受害者的浏览器上下文中执行任意JavaScript代码，从而窃取Cookie、会话令牌或其他敏感信息，或者进行钓鱼攻击和页面篡改。由于该漏洞需要用户交互（点击恶意链接），攻击复杂度较低，但潜在危害严重，可导致用户凭证泄露和进一步的身份冒充。
漏洞位于Zstore/Zippy CRM的手动插入点（manual insertion points），攻击者可以通过URL参数或POST请求参数注入恶意JavaScript代码。应用程序直接将用户可控的输入反射回HTML响应而未进行适当的输入验证或输出编码。例如，攻击者可能在URL中构造类似?param=<script>alert(document.cookie)</script>的参数，应用程序未对该参数值进行HTML实体编码就直接输出到页面中，导致脚本在受害者浏览器中执行。攻击者利用此漏洞可窃取用户会话Cookie、执行任意操作、修改页面内容或重定向用户到恶意网站。由于攻击利用社会工程学手段诱导用户点击恶意链接，因此属于用户交互型漏洞。