CVE-2025-12282CVE-2025-12282是code-projects Client Details System 1.0版本中存在的一个存储型跨站脚本（Stored XSS）漏洞。该系统是一款用于管理客户详细信息的Web应用程序，广泛应用于小型企业的客户关系管理系统中。漏洞位于/admin/manage-users.php文件中的未知功能模块，攻击者可以通过该漏洞在系统中注入恶意JavaScript代码。由于该漏洞属于存储型XSS，恶意脚本会被永久存储在服务器端数据库中，所有访问包含该恶意内容的页面的用户都会受到攻击影响。此漏洞的CVSS评分为2.4，属于低危级别，主要原因在于其利用条件较为苛刻，需要攻击者拥有高权限账户并诱导其他用户进行交互操作。虽然漏洞评级较低，但在实际攻击场景中，攻击者仍可利用此漏洞窃取用户会话Cookie、劫持用户账户、进行钓鱼攻击或传播恶意软件，对系统安全性构成潜在威胁。系统管理员应尽快采取修复措施，避免漏洞被恶意利用。
该存储型XSS漏洞源于/admin/manage-users.php文件对用户输入缺乏充分的输入验证和输出编码。在代码-projects Client Details System 1.0中，用户管理模块允许管理员添加、编辑和查看用户信息。攻击者（需具备管理员权限）可以在用户管理界面的特定输入字段中注入恶意JavaScript代码，例如：<script>alert(document.cookie)</script>。由于应用程序未对用户输入进行适当的HTML实体编码或内容安全策略（CSP）限制，恶意脚本会被直接存储到数据库中。当其他用户访问用户管理页面或相关功能时，服务器会从数据库中检索并输出这些未经过滤的数据，导致恶意脚本在用户浏览器中执行。攻击者可以利用此漏洞执行多种恶意操作，包括但不限于：窃取用户会话令牌、修改页面内容进行钓鱼、诱导用户下载恶意文件或进行其他跨站请求伪造（CSRF）攻击。该漏洞的利用需要攻击者拥有高权限账户（PR:H）并诱导受害者进行某种交互操作（UI:R），攻击向量为网络远程（AV:N）。