CVE-2025-36066CVE-2025-36066是IBM Sterling Connect:Express Adapter for Sterling B2B Integrator 5.2.0版本中的一个跨站脚本（XSS）漏洞。该漏洞存在于Web UI界面中，由于应用程序对用户输入的验证和过滤不充分，攻击者可以在Web页面中注入恶意JavaScript代码。当其他合法用户访问包含恶意代码的页面时，这些脚本将在用户浏览器中执行，从而窃取用户会话凭证、劫持用户会话或进行其他恶意操作。此漏洞允许未经身份验证的远程攻击者利用，无需获取任何有效凭据即可发起攻击。攻击者通过诱导受害者点击特制链接或访问包含恶意脚本的页面，即可在受害者浏览器上下文中执行任意JavaScript代码，可能导致敏感信息泄露，包括用户凭证、会话Cookie等。由于该漏洞影响B2B集成系统的Web界面，在企业环境中可能导致严重的业务数据泄露风险。
该漏洞是存储型或反射型跨站脚本（XSS）漏洞，存在于IBM Sterling Connect:Express Adapter的Web UI组件中。攻击者通过构造包含恶意JavaScript代码的特殊请求，在Web界面中注入脚本内容。漏洞的根本原因在于应用程序未对用户输入进行充分的HTML转义或内容安全策略（CSP）限制。攻击者可以利用此漏洞：1）在表单输入字段中注入脚本代码；2）通过URL参数传递恶意载荷；3）在页面内容中嵌入JavaScript代码。当受害者访问被污染的页面时，恶意脚本会在其浏览器上下文中执行，可用于窃取认证Cookie、获取用户输入的敏感数据、修改页面显示内容或重定向用户到钓鱼站点。由于该系统通常处理关键的B2B业务数据，攻击者可能通过XSS漏洞进一步进行横向移动或数据窃取。漏洞利用无需认证，但需要用户交互（点击链接或访问特定页面），符合CVSS向量中UI:R的要求。