CVE-2025-11276CVE-2025-11276是Rebuild应用平台中存在的一个跨站脚本（XSS）安全漏洞。该漏洞影响Rebuild 4.1.3及之前版本，主要存在于Comment（评论）和Guestbook（留言簿）组件的某些未知功能模块中。攻击者可以通过远程方式对目标系统进行恶意操作，利用该漏洞注入恶意脚本代码。
Rebuild是一款企业级的低代码快速开发平台，广泛用于构建各类业务管理系统。由于其评论和留言簿组件允许用户输入内容，如果应用未对用户提交的数据进行充分的输入验证和输出编码，攻击者便可以在这些组件中注入恶意的JavaScript代码。当其他用户浏览包含恶意代码的页面时，浏览器会自动执行这些恶意脚本，从而导致用户会话被劫持、敏感信息泄露或其他恶意行为。
该漏洞的CVSS 3.1评分为3.5分，属于低危级别。虽然评分较低，但由于XSS漏洞可以被用于钓鱼攻击、会话劫持、恶意软件分发等多种攻击场景，仍然对系统安全构成潜在威胁。该漏洞需要低权限认证和用户交互才能触发利用，这意味着攻击者需要先获得一定的系统访问权限才能实施攻击。
根据披露信息，Rebuild的供应商已经确认了该漏洞的存在，并在Rebuild 4.1.4版本中提供了修复。建议所有使用Rebuild 4.1.3及之前版本的用户尽快升级到4.1.4或更高版本，以消除该安全风险。
该漏洞属于典型的存储型跨站脚本（Stored XSS）漏洞，位于Rebuild平台的Comment（评论）和Guestbook（留言簿）组件中。
漏洞原理：Rebuild的评论和留言簿组件允许已认证的低权限用户提交文本内容，但应用在处理这些用户输入时，未能对HTML特殊字符（如<、>、"、'、&等）进行充分的转义或过滤。攻击者可以利用这一缺陷，在提交的评论或留言内容中嵌入恶意的JavaScript代码片段。由于服务器端未对输入进行净化处理就直接存储到数据库中，当其他用户访问包含这些评论或留言的页面时，浏览器会解析并执行嵌入的恶意脚本。
利用方式：攻击者首先需要拥有Rebuild平台的低权限账户（PR:L），然后登录系统并导航到评论或留言簿功能模块。在评论或留言的输入框中，攻击者提交包含恶意JavaScript代码的内容，例如通过<img>标签的onerror事件、<script>标签或其他HTML事件处理器来执行任意JavaScript代码。当受害者浏览包含该恶意内容的页面时（UI:R），嵌入的脚本将在受害者的浏览器上下文中执行，攻击者可以窃取用户的会话Cookie、进行钓鱼攻击、篡改页面内容或执行其他恶意操作。
该漏洞的CVSS向量为CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N，表明攻击通过网络进行（AV:N），攻击复杂度低（AC:L），需要低权限（PR:L），需要用户交互（UI:R），对完整性有低影响（I:L），对机密性和可用性无直接影响。