CVE-2025-11425CVE-2025-11425是projectworlds公司开发的Advanced Library Management System（高级图书馆管理系统）1.0版本中存在的一个跨站脚本（XSS）漏洞。该漏洞位于系统的/edit_admin.php文件中，具体涉及对参数firstname的处理逻辑存在缺陷，攻击者可以通过构造恶意的脚本代码注入到该参数中，实现存储型或反射型XSS攻击。
根据CVSS 3.1评分体系，该漏洞的评分为2.4分，属于低危级别。漏洞的CVSS向量为CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:N/I:L/A:N，表明该漏洞可以通过网络进行远程利用，攻击复杂度较低，但需要高权限（管理员级别）才能发起攻击，并且需要用户进行交互（如点击恶意链接或访问被注入的页面）。该漏洞主要影响系统的完整性，对机密性影响较低，对可用性没有影响。
该漏洞已于2025年10月8日公开披露，发现者通过[email protected]渠道报告了该漏洞。目前该漏洞的利用代码已经在GitHub等公开渠道发布，攻击者可以较为容易地获取和利用该漏洞。由于该漏洞需要管理员权限才能触发，因此实际威胁程度相对有限，但仍可能用于针对图书馆管理系统的管理员进行钓鱼攻击、会话劫持或权限提升等恶意活动。
该XSS漏洞的技术原理如下：
1. **漏洞位置**：漏洞存在于/edit_admin.php文件中，该文件用于编辑管理员信息的功能模块。
2. **漏洞参数**：主要触发参数为firstname（名字），但报告指出其他参数也可能受到影响。
3. **漏洞原理**：在处理管理员编辑功能时，系统未对用户输入的firstname参数进行充分的过滤、转义或编码处理。当管理员提交包含恶意JavaScript代码的firstname值时，这些代码会被存储到数据库中，并在后续页面渲染时直接输出到HTML页面中，从而被浏览器解析执行。
4. **利用方式**：
- 攻击者首先需要获取管理员级别的访问权限（PR:H）
- 在编辑管理员信息时，将恶意脚本代码（如`<script>alert(document.cookie)</script>`或更复杂的payload）注入到firstname参数中
- 当其他用户（特别是管理员）访问包含该管理员信息的页面时，恶意脚本会在其浏览器中执行
- 通过精心构造的payload，攻击者可以窃取用户的会话cookie、进行钓鱼攻击、劫持用户会话或执行其他恶意操作
5. **攻击特征**：该漏洞需要用户交互（UI:R），意味着受害者需要主动访问被注入恶意代码的页面或点击恶意链接才能触发攻击。