CVE-2025-15144 dayrui XunRuiCMS JSONP Callback XSS漏洞

dayrui XunRuiCMS 4.7.1及之前版本存在存储型XSS漏洞，源于JSONP回调函数对用户输入验证不足。攻击者通过构造恶意callback参数，可在用户浏览器中执行任意JavaScript代码，窃取会话令牌或进行钓鱼攻击。

漏洞位于/dayrui/Fcms/Init.php的dr_show_error/dr_exit_msg函数中，该函数处理JSONP请求的callback参数时未进行适当过滤。攻击者可在callback参数中注入<script>标签或JavaScript事件处理器，当其他用户访问包含恶意callback的页面时，XSS payload会被执行。