CVE-2025-40901该漏洞源于Nozomi Networks产品凭证管理器功能中存在存储型HTML注入缺陷。拥有高权限的攻击者可通过构造包含HTML标签的恶意身份数据，利用输入验证缺失将恶意代码持久化存储。当受害用户尝试删除该身份时，恶意HTML会在其浏览器端渲染，从而可能实施网络钓鱼或开放重定向攻击，尽管CSP策略限制了完整的XSS利用。
该漏洞的核心原理在于应用程序对“凭证管理器”中的身份定义参数缺乏充分的输出编码。攻击流程始于一个经过身份验证且具备管理特权的账户，该账户在创建或编辑身份时，将恶意HTML载荷（如伪造的登录表单或图片标签）注入到特定的输入字段中。服务器端未过滤这些数据并将其存储于后端数据库。触发条件发生在具有查看或删除权限的受害者访问该特定身份管理页面时，系统在渲染删除确认界面或列表时，直接输出了未转义的HTML内容。由于应用已配置Content Security Policy (CSP)，直接的JavaScript脚本执行（如alert(1)）可能被拦截，但攻击者仍可利用HTML标签进行UI重定向（钓鱼）或页面篡改，诱导用户进行非预期操作。