CVE-2025-11304CVE-2025-11304是CodeCanyon平台上ui-lib开发的Mentor LMS学习管理系统中存在的一个安全漏洞，影响版本至1.1.1。该漏洞位于产品的API组件中，涉及跨域资源共享（CORS）策略配置不当问题。攻击者可以利用此漏洞配置过于宽松的跨域策略，允许来自不受信任域名的请求访问API资源。
该漏洞的CVSS 3.1评分为6.3，属于中等严重等级。其攻击向量为网络（AV:N），攻击复杂度低（AC:L），无需特殊权限（PR:N），但需要用户交互（UI:R）。一旦成功利用，攻击者可在用户不知情的情况下，通过受信任域名的伪装对API发起跨域请求，导致低级别的机密性、完整性和可用性影响。
该漏洞已于2025年10月5日公开披露，发现者通过VulDB平台提交了漏洞报告。值得注意的是，漏洞利用代码已被公开发布，可能被恶意攻击者使用。供应商在漏洞披露前已被联系，但未作出任何回应，这增加了用户面临的风险。Mentor LMS作为一款在线学习管理系统，通常存储用户个人信息、课程数据和学习记录，因此该漏洞可能导致用户数据泄露或被恶意篡改。
该漏洞的核心问题在于Mentor LMS的API组件未正确配置CORS（Cross-Origin Resource Sharing，跨域资源共享）策略。正常情况下，服务器应通过Access-Control-Allow-Origin响应头明确指定允许访问资源的源域名，或严格限制跨域请求。但该产品的API组件配置了过于宽松的跨域策略，可能允许任意域名（包括不受信任的恶意域名）发起跨域请求。
攻击原理：攻击者创建一个恶意网站，在其中嵌入JavaScript代码，利用浏览器自动发送用户凭证（如Cookie）的特性，向目标Mentor LMS的API端点发起跨域请求。由于CORS策略配置不当，浏览器不会阻止此类请求，API服务器会处理请求并返回数据，从而实现跨域数据窃取或恶意操作。
利用方式：攻击者需要诱导已登录的用户访问恶意构造的网页（用户交互要求）。当用户访问该页面时，恶意JavaScript代码会自动向目标API发送请求。由于漏洞无需认证（PR:N），攻击复杂度低，攻击者可远程发起攻击。利用代码已被公开发布，降低了攻击门槛。
此漏洞属于配置类安全问题，主要风险在于允许未授权的跨域访问，可能导致敏感数据泄露、会话劫持或API滥用等安全问题。