CVE-2025-11390CVE-2025-11390是PHPGurukul Cyber Cafe Management System 1.0版本中存在的反射型跨站脚本（Reflected XSS）漏洞。该漏洞位于Web应用程序的/search.php文件中，具体涉及POST参数处理器对searchdata参数的处理逻辑存在缺陷。攻击者可以通过构造恶意的JavaScript代码作为searchdata参数的值发送到目标服务器，当受害者在浏览器中查看包含恶意脚本的链接或提交包含恶意代码的表单时，恶意脚本将在受害者的浏览器上下文中执行。
该漏洞的CVSS 3.1评分为4.3分，属于中等严重等级。攻击者无需任何身份认证即可远程发起攻击，但需要用户进行交互（如点击恶意链接或访问恶意页面）。一旦漏洞被利用，攻击者可以在受害者的浏览器中执行任意JavaScript代码，可能导致会话劫持、敏感信息窃取、钓鱼攻击或恶意操作等安全问题。值得注意的是，该漏洞的利用代码已经公开披露，这大大增加了其被恶意利用的风险。
PHPGurukul Cyber Cafe Management System是一个用于管理网吧（Cyber Cafe）运营的开源Web应用程序，提供用户管理、计费、计时等功能。由于该系统通常部署在面向公众的网络环境中，且涉及用户敏感信息，因此XSS漏洞可能对系统用户构成实质性威胁。
该漏洞属于典型的反射型跨站脚本（Reflected XSS）漏洞，其根本原因在于/search.php文件中的POST参数处理器未对用户输入的searchdata参数进行充分的过滤和转义处理。
在正常情况下，searchdata参数用于接收用户输入的搜索关键词，服务器端会将该值回显到HTML页面中。然而，由于缺乏对特殊字符（如<、>、"、'、&等HTML元字符）的适当转义处理，攻击者可以在searchdata参数中注入恶意的JavaScript代码。当服务器将该参数值嵌入到返回的HTML响应中时，恶意脚本将被浏览器解析并执行。
利用方式如下：
1. 攻击者构造一个包含恶意JavaScript代码的POST请求，目标URL为/search.php；
2. 在请求体中，searchdata参数被设置为类似"<script>alert(document.cookie)</script>"或更复杂的payload；
3. 攻击者通过社会工程学手段（如钓鱼邮件、即时消息等）诱导受害者点击或提交该恶意请求；
4. 服务器接收请求后，将未转义的searchdata值直接嵌入HTML响应中返回给浏览器；
5. 受害者的浏览器解析响应内容，执行嵌入的恶意JavaScript代码；
6. 恶意代码在受害者的会话上下文中运行，可以窃取Cookie、会话令牌，或执行其他恶意操作。
由于该漏洞需要用户交互（UI:R），攻击者需要欺骗用户主动触发漏洞，这使得攻击的成功率取决于社会工程学的有效性。