CVE-2025-12280CVE-2025-12280是code-projects公司开发的Client Details System 1.0版本中存在的一处存储型跨站脚本（Stored XSS）漏洞。该漏洞位于/update-clients.php文件处理用户输入的过程中，攻击者可以通过在客户端更新功能中注入恶意JavaScript代码，当其他用户访问或管理查看该数据时，恶意脚本将在其浏览器上下文中执行。CVSS评分2.4属于低危级别，原因是该漏洞需要高权限用户身份认证且需要用户交互才能触发。攻击向量为网络远程攻击，机密性和完整性影响均为低。虽然该漏洞评分较低，但存储型XSS漏洞可能被用于窃取会话Cookie、劫持用户会话、进行钓鱼攻击或植入恶意重定向，对业务安全仍构成一定威胁。该漏洞已于2025年10月27日披露，相关信息已被公开。
该漏洞为存储型XSS漏洞，存在于Client Details System 1.0的/update-clients.php文件中的未知处理流程。攻击者需要具备系统的高权限账户（PR:H）才能访问客户端更新功能。攻击者通过在提交客户端信息时，在特定输入字段中注入恶意JavaScript或HTML代码，如<script>alert(document.cookie)</script>或<img src=x onerror=...>等Payload。由于系统未对用户输入进行充分的输入验证和输出编码，恶意代码被存储到数据库中。当管理员或其他用户查看客户端列表或详情页面时，服务器从数据库取出未经过滤的数据并返回给客户端浏览器，浏览器将其作为HTML/JavaScript解析执行，从而触发XSS攻击。攻击者可利用此漏洞窃取用户会话信息、执行任意操作或进行进一步的攻击。由于需要用户交互（UI:R），攻击复杂度相对较高，但仍可通过社会工程学手段诱导用户访问恶意页面。