CVE-2025-15223CVE-2025-15223是Philipinho Simple-PHP-Blog项目中发现的存储型跨站脚本（XSS）漏洞。漏洞位于登录页面（/login.php）的Username参数处，攻击者可以通过在用户名输入框中注入恶意JavaScript代码，当其他用户访问该页面或查看相关数据时，恶意脚本将在受害者浏览器中执行。攻击成功后，攻击者可窃取用户会话cookie、劫持用户账户、进行钓鱼攻击或修改页面内容。由于该产品定位为教育用途，官方明确声明"For educational purposes only"，因此该漏洞的利用代码已被公开披露，增加了被恶意利用的风险。漏洞无需认证即可进行攻击，但需要诱导用户进行交互操作。
漏洞存在于Simple-PHP-Blog的登录功能模块中，具体位置为login.php文件的Username参数处理逻辑。当用户提交登录表单时，系统未对Username参数进行充分的输入验证和输出编码，直接将用户输入的内容存储或回显到页面中。攻击者可以通过构造包含恶意JavaScript代码的用户名，如：<script>alert(document.cookie)</script>，使得该脚本在后续页面访问时被浏览器解析执行。由于登录页面是系统的公共入口，任何访问该页面的用户都可能受到攻击。攻击者利用此漏洞可以绕过同源策略限制，窃取受害者的认证凭证、劫持会话、进行键盘记录或诱导用户进行非预期操作。CVSS 3.1评分4.3分反映出该漏洞具有网络可达性、低攻击复杂度和低完整性影响的特点。