CVE-2025-12761这是Drupal Simple multi step form插件中的一个存储型跨站脚本(XSS)漏洞。漏洞源于该模块在处理用户输入时未能正确对特殊字符进行HTML转义，导致攻击者可以在表单字段中注入恶意JavaScript代码。当其他用户查看包含恶意代码的页面时，这些脚本将在其浏览器中执行，可能导致会话劫持、敏感信息窃取或对网站进行进一步攻击。该漏洞需要攻击者具有较高的权限（PR:H）才能实施，并且需要用户交互（UI:R）才能触发。
漏洞存在于Simple multi step form模块的输入验证环节。攻击者可以利用表单提交功能，在各个步骤的输入字段中嵌入<script>标签或其他HTML/JS事件处理器。当管理员或其他用户查看表单数据或相关页面时，恶意代码会被浏览器解析执行。由于该漏洞属于存储型XSS，恶意脚本会永久保存在服务器端，所有访问相关内容的用户都会受到影响。攻击向量为网络级别，机密性和完整性影响均为低。