CVE-2025-12289CVE-2025-12289是Sui Shang Information Technology公司开发的Suishang企业级B2B2C多用户商城系统1.0版本中存在的一个跨站脚本（XSS）漏洞。该漏洞位于系统的活动状态查询功能中，具体路径为/Point/index/activity_state/1/category_id/1001。攻击者可以通过对category_id参数进行恶意构造，在页面中注入任意JavaScript代码。当其他用户访问包含恶意脚本的页面时，攻击者可以窃取用户的会话Cookie、劫持用户账户、进行钓鱼攻击或修改页面显示内容。由于该漏洞需要用户交互才能触发，攻击复杂度较低，但一旦用户访问恶意链接，攻击即可成功。此漏洞已被公开披露，厂商在收到安全通知后未作出任何回应，属于零响应漏洞。建议使用该系统的企业尽快采取防护措施，避免用户受到进一步攻击。
该漏洞为典型的反射型XSS（Reflected Cross-Site Scripting）漏洞。攻击者通过构造特制的URL链接，在category_id参数中嵌入恶意JavaScript代码或HTML标签。当用户点击该恶意链接访问目标系统时，服务器将用户提交的category_id参数值未经过滤或转义直接返回到响应页面中，浏览器将其作为可执行脚本解析并执行。
漏洞利用方式：首先攻击者构造恶意URL，例如：/Point/index/activity_state/1/category_id/<script>alert(document.cookie)</script>。然后诱骗已登录用户点击该链接。由于用户已通过身份认证，恶意脚本将以用户的上下文环境执行，可访问用户的会话信息、执行任意操作或窃取敏感数据。
根本原因分析：系统在处理用户输入时缺少输入验证和输出编码机制。开发者应使用HTML实体编码对用户输入进行转义，并实现内容安全策略（CSP）头部以防止XSS攻击。建议对所有用户可控参数实施白名单过滤，确保只有预期的字符和格式被接受。