CVE-2025-13793CVE-2025-13793是winston-dsouza开源电商项目中的一个反射型跨站脚本（XSS）漏洞。该漏洞存在于/includes/header_menu.php文件的GET参数处理逻辑中，攻击者可以通过Error参数注入恶意JavaScript代码。当受害者在浏览器中打开包含恶意载荷的链接时，攻击脚本将在受害者上下文中执行，可能导致会话劫持、敏感信息窃取、钓鱼攻击等严重后果。由于该产品采用滚动发布模式，版本信息不明确，漏洞影响范围可能覆盖所有历史版本。漏洞已于2025年11月30日公开披露，且相关利用代码已公开，厂商在收到提前通知后未做出任何响应。由于攻击需要用户交互（诱导用户点击恶意链接），降低了漏洞的实际利用难度，建议受影响用户尽快采取临时缓解措施或寻找安全的替代方案。
该漏洞为反射型XSS（Non-Persistent XSS），攻击原理如下：1. 漏洞位置：/includes/header_menu.php文件中对GET参数Error的处理。2. 漏洞成因：程序未对用户输入的Error参数进行充分的输入验证和输出编码，直接将用户可控的数据嵌入到HTML页面中。3. 攻击方式：攻击者构造恶意URL，如：http://target.com/includes/header_menu.php?Error=<script>alert(document.cookie)</script>，诱导受害者访问。4. 漏洞触发：当受害者访问该URL时，浏览器会解析HTML并将<script>标签内容作为JavaScript执行。5. 影响范围：由于Error参数值会被反射到页面中，任何能够诱导用户点击恶意链接的攻击场景都可能成功。6. 利用场景：可窃取用户会话Cookie、劫持用户操作、注入恶意内容、进行钓鱼攻击等。由于该参数在页面加载时即时反射，无需存储，因此属于反射型XSS。攻击者通常通过社工手段（邮件、社交媒体等）诱导用户点击恶意链接。