CVE-2025-10018CVE-2025-10018是影响QuickCMS的一个高危安全漏洞，属于存储型跨站脚本攻击（Stored XSS）。该漏洞存在于QuickCMS的语言编辑器功能（languages模块）中，允许具有管理员权限的恶意攻击者向网站注入任意HTML和JavaScript代码。由于这些恶意代码被存储在服务器端，会在网站的每个页面被渲染和执行，从而影响所有访问该网站的用户。攻击者可以利用此漏洞窃取用户会话Cookie、劫持用户账户、进行钓鱼攻击或植入恶意软件。值得注意的是，QuickCMS默认情况下管理员用户是无法添加JavaScript到网站的，但该漏洞绕过了这一安全限制。目前仅确认6.8版本存在此漏洞，其他版本可能也受影响。厂商在收到漏洞通知后未及时响应，导致漏洞长期存在。
该漏洞是一个典型的存储型XSS（Cross-Site Scripting）漏洞，存在于QuickCMS的语言编辑器功能模块中。存储型XSS与反射型XSS的主要区别在于，恶意脚本被永久存储在目标服务器（如数据库、留言板、评论区等），而非仅在URL参数中传递。当其他用户访问包含恶意脚本的页面时，服务器从数据库中读取该脚本并嵌入到响应页面中，从而触发执行。在QuickCMS中，攻击者通过以下步骤利用此漏洞：1. 登录到QuickCMS管理后台；2. 导航到语言编辑器功能；3. 在语言字段中注入恶意JavaScript代码（如<script>alert(document.cookie)</script>）；4. 保存修改。由于系统未对用户输入进行充分的HTML转义或白名单过滤，恶意代码被直接存储到数据库中。当用户访问网站的任何页面时，这些包含恶意脚本的语言字符串被加载并输出到HTML页面中，导致JavaScript在用户浏览器中执行。攻击者可借此窃取用户认证信息、篡改页面内容或进行进一步的攻击。