CVE-2025-42872CVE-2025-42872是SAP NetWeaver Enterprise Portal中的一个存储型跨站脚本（XSS）漏洞，CVSS评分6.1，中危级别。该漏洞允许未经身份验证的攻击者在Web应用程序中注入恶意脚本代码，当其他用户访问被污染的页面时，恶意脚本会在用户浏览器上下文中执行。攻击者可利用此漏洞窃取受害者的会话Cookie、认证令牌、敏感业务数据等，甚至可以进行会话劫持，以受害者身份执行操作。由于该漏洞无需认证即可利用，但需要用户交互触发，因此实际攻击复杂度适中。建议受影响用户及时安装SAP官方安全补丁（SAP Note 3662622）进行修复。
该漏洞是SAP NetWeaver Enterprise Portal中存在的存储型XSS（Cross-Site Scripting）漏洞。攻击者通过向应用程序提交包含恶意JavaScript代码的输入数据，这些数据被存储在服务器端。当其他合法用户访问包含该恶意数据的页面时，服务器将未经适当清理或转义的数据返回给用户浏览器，导致恶意脚本在用户浏览器上下文中执行。攻击成功后可获取用户Cookie、localStorage中的敏感信息、劫持用户会话，甚至可以进行键盘记录、修改页面内容等操作。由于该漏洞影响Confidentiality和Integrity（均为Low），而Availability不受影响（None），因此CVSS评分相对较低。攻击向量为网络（AV:N），无需认证（PR:N），但需要用户交互（UI:R）才能触发。