CVE-2025-14186Grandstream GXP1625 1.0.7.4版本中存在一个存储型跨站脚本（XSS）漏洞。该漏洞位于网络状态页面的/cgi-bin/api.values.post文件中，攻击者可以通过vpn_ip参数注入恶意JavaScript代码。由于该漏洞存在于设备的管理界面，攻击者可以利用此漏洞窃取用户会话cookie、劫持用户账户或进行钓鱼攻击。此漏洞无需高权限即可利用，但需要用户交互（如点击恶意链接或访问特定页面）。由于厂商未对此漏洞报告做出回应，且漏洞利用代码已公开，建议受影响的用户采取临时防护措施。
该漏洞是存储型XSS，攻击者通过vpn_ip参数注入<script>alert(document.domain)</script>等恶意代码。由于输入验证不足，恶意脚本被存储在系统中，当管理员访问网络状态页面时自动执行。攻击者可利用此窃取会话信息或执行特权操作。