CVE-2025-33110CVE-2025-33110是IBM OpenPages平台中的一个HTML注入漏洞，严重程度为中等（CVSS 5.4）。该漏洞影响IBM OpenPages 9.1版本以及9.0 with Watson版本。攻击者可以利用此漏洞通过注入恶意HTML代码到应用程序的输入字段中，当其他用户查看包含恶意代码的内容时，这些代码将在受害者的Web浏览器中执行。由于代码在托管站点的安全上下文中运行，攻击者可以窃取用户的会话Cookie、劫持用户会话、进行钓鱼攻击或修改页面显示内容。HTML注入与跨站脚本（XSS）类似，但更侧重于注入HTML标签和内容。该漏洞需要攻击者具有低权限账号，并且需要用户交互才能成功利用。对于处理敏感业务数据的OpenPages平台而言，此类漏洞可能导致数据泄露和业务安全风险。建议受影响的用户及时应用IBM官方发布的安全更新。
HTML注入漏洞发生在应用程序对用户输入处理不当的情况下。IBM OpenPages在处理用户提交的数据时，未能充分过滤或转义HTML特殊字符。攻击者可以通过在表单输入、评论功能、文档描述或其他文本输入字段中插入恶意HTML标签（如<script>、<img>、<iframe>等）来实现攻击。当这些包含恶意代码的数据被存储并在其他用户界面中呈现时，浏览器会将其解析为有效的HTML并执行。攻击者常使用的payload包括：<script>alert(document.cookie)</script>用于窃取Cookie，<img src=x onerror=恶意代码>用于绕过过滤，<iframe src=钓鱼页面>用于钓鱼攻击。在OpenPages的业务场景中，攻击者可能通过注入恶意HTML来窃取管理员凭证、修改业务数据展示或进行内部侦察。由于该漏洞的CVSS向量显示需要用户交互（UI:R）和低权限认证（PR:L），攻击场景可能是低权限用户诱使管理员查看恶意内容，从而实现权限提升或会话劫持。