CVE-2025-11282CVE-2025-11282 是 Frappe LMS 学习管理系统 2.34.x 和 2.35.0 版本中存在的跨站脚本（XSS）漏洞。该漏洞源于对先前 CVE-2025-55006 的修复不完整，属于不完全修复（Incomplete Fix）类型的漏洞。Frappe LMS 是一款基于 Frappe 框架构建的开源学习管理平台，广泛用于在线课程发布、学生管理和教学互动等场景。
该漏洞的 CVSS 3.1 评分为 2.4 分，属于低危级别。攻击者需要具备高权限（PR:H）才能利用此漏洞，并且需要用户交互（UI:R）才能触发攻击。攻击通过网络进行（AV:N），攻击复杂度较低（AC:L）。该漏洞对机密性无影响（C:N），对完整性有低影响（I:L），对可用性无影响（A:N）。
值得注意的是，该漏洞的发现者通过 VulDB 平台披露了此问题，并指出供应商虽然确认了包括此漏洞在内的四个安全问题已修复，但 GitHub 上的发布说明并未提及这些修复内容。目前该漏洞的利用方式已公开，可能被攻击者利用。安全研究人员 0xHamy 在 GitHub Gist 上发布了详细的复现步骤。
CVE-2025-11282 是一个存储型或反射型跨站脚本（XSS）漏洞，位于 Frappe LMS 的某个未知函数中，是 CVE-2025-55006 修复的不完全补丁。
漏洞原理：
1. Frappe LMS 在处理用户输入时，未能充分过滤或转义某些特殊字符（如 <、>、"、' 等 HTML/JavaScript 敏感字符）。
2. 之前的 CVE-2025-55006 修复尝试对部分输入进行了过滤，但遗漏了某些代码路径或输入字段，导致攻击者仍可通过未修补的入口注入恶意脚本。
3. 攻击者利用高权限账户（如管理员或教师账户）在系统中提交包含恶意 JavaScript 代码的内容。
4. 当其他用户浏览包含恶意内容的页面时，浏览器会执行注入的脚本，从而实现会话劫持、Cookie 窃取、钓鱼攻击或其他恶意操作。
利用条件：
- 攻击者需要拥有系统的高权限账户（如管理员、教师或内容编辑者）
- 需要受害者用户访问包含恶意内容的页面（用户交互）
- 攻击通过远程网络进行
利用方式：
攻击者通过系统中仍存在 XSS 漏洞的输入点（如课程描述、用户个人资料、评论等字段），注入精心构造的 JavaScript 代码。这些代码在受害者浏览器中执行后，可窃取会话令牌、重定向用户到恶意网站，或执行其他未授权操作。