CVE-2025-12246CVE-2025-12246是Chatwoot 4.7.0及之前版本中的一个存储型跨站脚本（XSS）漏洞。该漏洞存在于Admin Interface的IframeLoader.vue组件中，攻击者可以通过构造恶意的Link参数来注入JavaScript代码。当其他用户访问包含恶意脚本的页面时，脚本将在其浏览器上下文中执行，可能导致会话劫持、敏感信息窃取或进一步的恶意操作。由于该漏洞位于管理界面，攻击成功后可能获取管理员权限，对系统安全构成严重威胁。
该漏洞源于IframeLoader.vue组件对用户输入的Link参数缺乏充分的输入验证和输出编码。攻击者可在Link参数中注入<script>标签或其他JavaScript事件处理器，当页面渲染时，恶意脚本会被执行。由于漏洞位于Admin Interface中，攻击者需要具有管理员权限或通过其他方式诱导管理员访问恶意链接。修复措施包括对所有用户输入进行严格的输入验证和使用HTML实体编码对输出进行转义。