CVE-2025-11512CVE-2025-11512 是 code-projects Voting System 1.0 中存在的一个跨站脚本（XSS）漏洞。该漏洞位于 /admin/voters_add.php 文件中，具体涉及 Firstname、Lastname 和 Platform 参数的输入处理。由于系统未对这些参数进行充分的输入验证和输出编码，攻击者可以通过远程方式向这些参数注入恶意的 JavaScript 代码或 HTML 标签，从而实现跨站脚本攻击。该漏洞的 CVSS 3.1 评分为 4.3，属于中危级别。虽然漏洞的利用需要用户交互（如点击恶意链接或访问恶意页面），且无需认证即可远程利用，但其对完整性和机密性均有一定程度的影响。值得注意的是，该漏洞的利用代码已经公开披露，攻击者可以轻易获取并利用该漏洞进行攻击活动。攻击成功后，攻击者可以窃取用户会话、劫持管理员账户、进行钓鱼攻击或植入恶意脚本，对系统的安全性和用户数据构成严重威胁。
该漏洞的根本原因在于 /admin/voters_add.php 文件对用户输入的 Firstname、Lastname 和 Platform 参数缺乏充分的过滤和转义处理。在投票系统的管理员添加选民功能中，这些参数被直接接收并存储到数据库中，而在后续页面渲染时未进行适当的 HTML 编码或转义，导致恶意脚本能够在浏览器上下文中执行。
攻击者可以通过构造包含恶意 JavaScript 代码的请求来利用此漏洞。例如，在 Firstname 参数中注入 <script>alert('XSS')</script> 或使用事件处理器如 <img src=x onerror=alert(document.cookie)> 等 payload。当管理员或用户查看包含该恶意数据的页面时，浏览器会执行注入的脚本。
由于该漏洞的攻击向量为网络（AV:N），无需认证（PR:N），但需要用户交互（UI:R），因此攻击者通常需要通过社会工程学手段诱导受害者点击恶意链接或访问包含恶意代码的页面。攻击成功后，攻击者可以窃取会话 Cookie、进行钓鱼攻击、劫持账户或执行其他恶意操作。该漏洞的利用代码已公开，攻击门槛较低。