CVE-2025-11963CVE-2025-11963是Saysis Computer Systems Trade Ltd. Co.开发的StarCities应用程序中的一个反射型跨站脚本（Reflected XSS）漏洞，CVSS评分5.4，严重等级为中危。该漏洞源于Web应用在生成页面时未对用户输入进行充分的安全过滤和转义处理，导致攻击者可以构造恶意脚本代码并通过URL参数等方式注入到网页响应中。当其他用户访问包含恶意代码的链接时，攻击者的脚本将在受害者浏览器上下文中执行，从而窃取用户会话令牌、劫持用户账户、诱导用户进行非预期操作或重定向至钓鱼网站。此漏洞影响StarCities 1.1.61之前的所有版本，攻击复杂度较低但需要用户交互（如点击恶意链接），对机密性和完整性造成低影响，对可用性无影响。建议受影响的用户及时升级到修复版本并实施严格的输入验证机制。
该漏洞属于典型的反射型XSS（Cross-site Scripting）漏洞，攻击原理如下：1）攻击者构造包含恶意JavaScript代码的URL参数（如在搜索框或表单参数中注入<script>alert(document.cookie)</script>）；2）服务器端程序在处理用户请求时，未对输入参数进行HTML实体编码或安全过滤，直接将用户可控的数据回显到HTTP响应页面中；3）受害者访问攻击者构造的恶意链接后，浏览器将响应内容中的恶意脚本作为合法脚本执行；4）由于脚本在受害者当前域的上下文中运行，可以访问该域的Cookie、会话信息等敏感数据。StarCities应用在处理用户输入时缺少适当的输出编码（Output Encoding）机制，未将特殊字符（如<、>、"、'等）转换为HTML实体（如<、>、"、'），导致注入的脚本代码被浏览器解析执行。攻击者通常通过社工手段诱导用户点击恶意链接，利用受害者的认证会话来执行未授权操作。