CVE-2025-15134yourmaileyes MOOC是一款在线课程管理平台，在1.17及之前版本中存在存储型跨站脚本漏洞。该漏洞位于mooc/controller/MainController.java文件的subreview函数中，攻击者可以通过操控review results参数注入恶意JavaScript代码。由于该漏洞需要用户交互触发，低权限用户即可利用此漏洞向其他用户会话注入恶意脚本，可能导致会话劫持、敏感信息窃取或钓鱼攻击。漏洞已于2024年被报告给厂商，但截至披露日期仍未得到修复，公开的利用代码可能已被广泛传播。
该漏洞属于存储型XSS，攻击者通过mooc/controller/MainController.java中的subreview函数提交包含恶意脚本的review results参数。由于应用未对用户输入进行充分的HTML转义处理，恶意代码被直接存储在数据库中。当其他用户访问相关页面时，这些数据被直接渲染执行。攻击者可以利用此漏洞窃取用户cookie、会话令牌或其他敏感信息，或在用户浏览器中执行任意JavaScript操作。