CVE-2025-13186CVE-2025-13186是Bdtask公司开发的CodeCanyon Isshue多商店电商购物车解决方案中的一个存储型跨站脚本（Stored XSS）漏洞。该漏洞存在于/dashboard/Ccustomer/manage_customer路径下的Search参数中，攻击者可以通过在搜索参数中注入恶意JavaScript脚本，当其他用户访问该页面时，恶意脚本会在其浏览器中执行。漏洞影响版本至4.0，CVSS评分为2.4，属于低危漏洞。由于该漏洞需要高权限用户才能利用（PR:H），且需要用户交互（UI:R），实际利用难度相对较高。然而，攻击者仍可利用此漏洞窃取会话Cookie、劫持用户账户或进行钓鱼攻击。由于该漏洞的PoC已公开，且供应商未对此前披露做出回应，建议使用该系统的用户尽快采取防护措施。
该漏洞是一个存储型XSS漏洞，出现在Isshue电商系统的客户管理模块中。具体位于/dashboard/Ccustomer/manage_customer端点的Search参数处理逻辑中。攻击者可以在Search参数中注入恶意JavaScript代码，如<script>alert(document.cookie)</script>。由于系统未对用户输入进行充分的输入验证和输出编码，恶意脚本会被存储在数据库中。当管理员或其他用户访问客户管理页面并触发搜索功能时，恶意脚本会在其浏览器上下文中执行。漏洞利用前提条件包括：1）攻击者需要具有高权限账户（如管理员）才能访问受影响的端点；2）需要诱导其他用户与注入的恶意内容进行交互。由于该系统采用PHP开发，漏洞可能源于控制器层未对用户输入进行HTML实体编码就直接输出到页面。修复方案应在输出点对Search参数进行HTML特殊字符转义，或在输入点实施白名单过滤策略。