CVE-2025-12300CVE-2025-12300是code-projects团队开发的Simple Food Ordering System 1.0版本中存在的一个跨站脚本（XSS）漏洞。该漏洞位于/addcategory.php文件的cname参数处理逻辑中，由于应用程序在处理用户输入时未对特殊字符进行充分的过滤和转义，导致攻击者可以在添加食品类别的功能点注入恶意的JavaScript代码。该漏洞具有远程利用特性，攻击者无需认证即可发起攻击，但需要诱导受害者进行某些交互操作。CVSS评分4.3属于中等严重程度，主要影响系统的完整性和机密性。由于该漏洞的利用代码已公开，攻击者可以轻易获取并使用，对使用该系统的餐饮企业网站构成实际威胁。攻击成功后可窃取用户会话cookie、劫持用户账户、进行钓鱼攻击或传播恶意内容。
该漏洞属于存储型XSS（Stored XSS）漏洞，攻击向量为网络远程利用。漏洞产生的根本原因在于/addcategory.php文件中的cname参数处理逻辑存在输入验证不足的问题。当用户提交类别名称（cname参数）时，应用程序直接将用户输入的数据存储到数据库中，而未对特殊HTML字符（如<、>、'、"等）进行HTML实体编码或转义处理。在后续页面加载时，存储的恶意脚本会被浏览器作为正常HTML/JavaScript执行，从而实现跨站脚本攻击。攻击者可以利用此漏洞注入JavaScript代码，这些代码会在其他用户访问相关页面时自动执行。由于攻击代码被永久存储在服务器端，所有访问受影响页面的用户都会受到攻击影响。CVSS向量显示该漏洞需要用户交互（UI:R），表明攻击者需要诱导受害者访问恶意构造的页面才能完成攻击。