CVE-2025-12230: projectworlds Expense Management System 1.0 跨站脚本漏洞

projectworlds Expense Management System 1.0存在跨站脚本（XSS）漏洞，攻击者可以通过在Currency Page的创建功能中注入恶意脚本来窃取用户会话、劫持账户或进行钓鱼攻击。该漏洞位于/public/admin/currencies/create路径，由于未对用户输入进行充分过滤和转义，导致恶意JavaScript代码可在受害者浏览器中执行。鉴于系统需要高权限认证才能利用此漏洞，攻击复杂度较低但仍需用户交互。CVSS评分为2.4，属于低危级别。

该漏洞属于存储型XSS，攻击者以管理员身份在货币创建页面（/public/admin/currencies/create）的名称或符号字段中注入恶意JavaScript代码。由于应用未对输入进行HTML转义，该代码会被永久存储在数据库中。当其他管理员访问货币列表或相关管理页面时，恶意代码会在其浏览器上下文中执行，可能窃取会话cookie、伪造操作或进行其他恶意行为。防御措施包括对所有用户输入进行严格的HTML转义、实施内容安全策略（CSP）以及限制管理员输入的特殊字符范围。