CVE-2025-10503CVE-2025-10503是一个存在于WSO2产品认证端点的反射型跨站脚本（XSS）漏洞。该漏洞源于端点接受用户输入时未强制执行验证约束，且缺乏适当的输出编码机制。攻击者可利用此缺陷注入恶意JavaScript载荷，诱导用户点击特制链接以触发攻击。尽管受HttpOnly标志保护无法直接劫持会话，攻击者仍可重定向用户、篡改界面或窃取敏感信息。
该漏洞的核心技术原理在于认证端点对用户提供的输入数据未进行有效的过滤和转义，直接将其反射到HTTP响应页面中。根据CVSS 3.1向量（AV:N/AC:L/PR:N/UI:R/S:C），攻击者无需预先认证即可从网络发起攻击，但需要受害者进行交互（如点击恶意链接）。攻击流程通常涉及构造包含恶意脚本（如`<script>`标签）的URL参数。当受害者访问该URL时，服务器端将参数原样返回，由于缺乏输出编码，浏览器将其解析为可执行代码。虽然HttpOnly Cookie标志缓解了直接的会话劫持风险，但攻击者依然可以利用DOM操作修改页面内容、执行钓鱼攻击或将用户重定向至恶意站点，造成完整性破坏和信息泄露。