CVE-2025-12231projectworlds Expense Management System 1.0版本中存在存储型跨站脚本(XSS)漏洞，该漏洞位于管理员后台的费用类别创建功能页面(/public/admin/expense_categories/create)中。攻击者通过在创建费用类别时注入恶意脚本来利用此漏洞。成功利用此漏洞可导致窃取用户会话cookie、劫持用户账户、进行钓鱼攻击或传播恶意软件。由于需要管理员权限才能利用此漏洞，且需要用户交互才能触发，因此CVSS评分为2.4，属于低危级别。
该存储型XSS漏洞源于费用类别创建页面未对用户输入进行充分的输入验证和输出编码。攻击者可在创建新的费用类别时，在类别名称或其他输入字段中注入恶意JavaScript代码。由于输入验证不足，恶意脚本会被直接存储到数据库中。当其他管理员或用户访问费用类别列表页面时，这些存储的恶意脚本会被浏览器解析执行，从而实现XSS攻击。漏洞利用需要攻击者具有管理员权限，并诱导其他用户访问受影响的页面。