CVE-2025-11278CVE-2025-11278是AllStarLink Supermon（一个用于AllStarLink网络的Asterisk监控系统）中的一个安全漏洞。该漏洞影响Supermon 6.2及以下版本中的AllMon2组件，具体存在于未知代码部分。攻击者可以通过远程方式利用该漏洞进行跨站脚本（XSS）攻击。
根据CVSS 3.1评分体系，该漏洞评分为4.3分，属于中危级别。攻击向量为网络（AV:N），攻击复杂度低（AC:L），无需特权（PR:N），但需要用户交互（UI:R）才能触发。漏洞对机密性影响较低（C:L），对完整性影响较低（I:L），对可用性无影响（A:N）。
该漏洞的利用代码已被公开披露，可能已被攻击者使用。安全研究人员曾提前联系供应商报告此漏洞，但供应商未做出任何回应。值得注意的是，此漏洞仅影响不再由维护者支持的产品版本，意味着官方可能不会发布修复补丁，用户需要自行采取缓解措施。
该漏洞存在于AllStarLink Supermon的AllMon2组件中，属于典型的反射型或存储型跨站脚本（XSS）漏洞。攻击者可以通过构造包含恶意JavaScript代码的输入，在目标用户的浏览器上下文中执行任意脚本。
漏洞原理：AllMon2组件在处理用户输入时，未对输入内容进行充分的过滤和转义，导致恶意脚本可以被注入到网页中。当受害者访问包含恶意代码的页面时，浏览器会执行嵌入的JavaScript代码，从而实现窃取Cookie、会话劫持、钓鱼攻击或篡改页面内容等目的。
利用方式：
1. 攻击者构造包含恶意JavaScript代码的URL或表单输入；
2. 通过社会工程学手段诱导已认证用户点击恶意链接或访问受感染的页面；
3. 恶意脚本在受害者浏览器中执行，窃取敏感信息或执行未授权操作；
4. 由于漏洞需要用户交互（UI:R），攻击通常需要配合钓鱼邮件或即时消息等方式进行。
由于该产品已不再受维护，官方不会发布补丁来修复此漏洞。