CVE-2025-12303CVE-2025-12303是PHPGurukul Curfew e-Pass Management System 1.0版本中的一个存储型跨站脚本（Stored XSS）漏洞。该系统是一款用于管理宵禁通行证的Web应用程序，广泛应用于疫情期间或特殊时期的人员流动管理。漏洞存在于admin-profile.php文件中的adminname和email参数处理逻辑中，攻击者可以通过在用户资料更新功能中注入恶意JavaScript代码，当管理员或其他用户查看受影响用户的资料时，恶意脚本将在其浏览器上下文中执行。攻击者可利用此漏洞窃取会话Cookie、劫持用户账户、执行钓鱼攻击或传播恶意软件。由于该漏洞需要高权限用户权限才能利用，且需要用户交互触发，因此CVSS评分较低（2.4），但仍可能对企业网络安全造成潜在威胁。攻击者已公开相关利用代码，建议相关单位尽快采取修复措施。
该漏洞属于存储型XSS（Stored Cross-Site Scripting）漏洞，攻击向量为网络（AV:N），需要高权限认证（PR:H）并涉及用户交互（UI:R）。漏洞产生的根本原因是admin-profile.php文件在处理adminname和email参数时，未对用户输入进行充分的输入验证和输出编码。具体来说，当管理员或特权用户更新其个人资料时，应用程序直接将用户提交的adminname和email参数值存储到数据库中，而在后续页面渲染过程中，这些未经过滤的数据被直接嵌入到HTML响应中，导致恶意JavaScript代码得以执行。攻击者可通过构造如下Payload：<script>alert(document.cookie)</script>作为adminname或email参数值，系统将无条件存储该数据。当其他用户访问包含恶意代码的页面时，浏览器会将其解析为可执行脚本，从而触发XSS攻击。攻击者可利用此漏洞窃取受害者会话Cookie、伪造用户操作、进行CSRF攻击或植入钓鱼页面。CVSS 3.1向量为CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:N/I:L/A:N，机密性和完整性影响均为低。