CVE-2025-41026 GDTaller反射型XSS漏洞

GDTaller软件中存在反射型跨站脚本（XSS）漏洞。该漏洞由于'app_login.php'页面对'site'参数缺乏有效的输入过滤和输出编码所致。远程攻击者可利用此漏洞，通过诱导受害者点击特制的恶意链接，在受害者的浏览器上下文中执行任意JavaScript代码，进而窃取会话Cookie、进行敏感操作或进行钓鱼攻击。

该漏洞属于典型的反射型XSS。在GDTaller的登录页面或相关功能模块中，`app_login.php`接收`site`参数并将其直接反射到HTTP响应中，未经过滤。攻击者可构造如下Payload：`<img src=x onerror=alert(1)>`或`<script>alert(1)</script>`。由于CVSS向量中Scope为Changed (S:C)，攻击者可能利用该漏洞影响浏览器与其他标签页或应用的交互。攻击流程无需认证，但需要用户交互（点击链接），这使得该漏洞常被用于钓鱼攻击组合中。