CVE-2025-48055Combodo iTop是一款基于Web的IT服务管理工具。在3.2.2之前的版本中，当在用户门户中显示browse brick内容时，存在存储型跨站脚本（Stored XSS）漏洞。攻击者可以通过在browse brick中注入恶意JavaScript代码，当其他用户访问包含该内容的页面时，恶意脚本将在受害者浏览器中执行。成功利用此漏洞可导致窃取用户会话Cookie、劫持用户账户、进行钓鱼攻击或在用户上下文中执行任意操作。由于该漏洞位于用户门户的展示层，攻击者只需拥有低权限账户即可利用此漏洞，且无需用户交互即可触发。
该漏洞为存储型XSS，存在于iTop用户门户的browse brick组件中。攻击流程如下：1) 攻击者首先在iTop系统中创建一个包含恶意JavaScript代码的条目；2) 当系统通过browse brick功能在用户门户中展示该条目内容时，未对用户输入进行充分的HTML转义或过滤；3) 恶意代码被嵌入到页面DOM中并随页面响应返回；4) 当其他用户访问该门户页面时，浏览器将恶意脚本作为页面的一部分执行。攻击者可以利用document.cookie获取用户会话信息，或通过fetch/XMLHttpRequest将窃取的凭证发送到外部服务器。由于CVSS向量中S:C（Scope Changed），该漏洞可能导致权限提升，攻击者可利用窃取的会话冒充高权限用户操作。