CVE-2025-10931CVE-2025-10931是Drupal Umami Analytics组件中的一个存储型跨站脚本（Stored XSS）漏洞。该漏洞由于在Web页面生成过程中对用户输入处理不当导致，攻击者可以在Umami Analytics的分析功能中注入恶意JavaScript代码。当其他用户访问包含恶意脚本的页面时，这些脚本将在其浏览器上下文中执行，从而窃取会话Cookie、劫持用户账号或进行其他恶意操作。漏洞影响范围为Umami Analytics 0.0.0至1.0.0版本。该漏洞需要高权限用户才能触发，但无需受害者交互即可实现攻击。由于是存储型XSS，恶意脚本会持久存在于系统中，影响所有访问相关页面的用户。Drupal安全团队已发布安全公告SA-CONTRIB-2025-109，建议用户升级到1.0.1或更高版本以修复此问题。
该漏洞属于存储型跨站脚本（Stored XSS）漏洞，存在于Drupal Umami Analytics模块的页面渲染逻辑中。具体来说，当Umami Analytics收集和展示网站分析数据时，未对用户可控的输入进行充分的HTML转义处理。攻击者可以通过以下方式利用此漏洞：首先，攻击者需要具备高权限（如管理员权限），然后在分析功能的输入字段中注入恶意JavaScript代码（如<script>alert(document.cookie)</script>）。由于系统未对输入进行正确过滤，该脚本会被存储在数据库中。当其他用户访问包含该分析数据的页面时，恶意脚本会作为页面内容的一部分被加载并执行。由于是存储型XSS，攻击载荷会在所有访问该页面的用户浏览器中执行，可用于窃取认证令牌、进行钓鱼攻击或修改页面内容。修复方案需要在数据输出点对所有用户输入进行HTML实体编码（htmlspecialchars或equivalent函数）。