CVE-2025-52179CVE-2025-52179是Zucchetti公司开发的Ad Hoc Revolution企业管理软件中存在的一个跨站脚本（XSS）漏洞。该漏洞影响4.1及更早版本，允许远程未认证攻击者通过特定参数注入任意JavaScript代码。Zucchetti Ad Hoc Revolution是一款广泛应用于意大利市场的企业资源规划（ERP）和内容管理系统，企业常用于内部文档管理、流程审批和协作办公。由于该系统通常部署在企业内部网络并承载敏感业务数据，XSS漏洞的存在可能导致严重的安全后果。攻击者可利用此漏洞窃取用户会话令牌、劫持用户账户、进行钓鱼攻击或在内网环境中进一步横向移动。该漏洞无需特殊权限即可利用，但需要诱导受害者访问恶意链接或提交特制请求，CVSS评分6.1属于中等严重程度。
该XSS漏洞位于Ad Hoc Revolution的HTML编辑器组件中，具体路径为/ahrw/jsp/gsfr_feditorHTML.jsp端点。漏洞根源在于应用程序未对用户输入的pHtmlSource参数进行充分的输入验证和输出编码。攻击者可以在该参数中注入恶意JavaScript代码，如<script>alert(document.cookie)</script>等payload。当其他用户访问包含恶意脚本的页面时，浏览器会将其解析为可执行代码并执行，从而实现跨站脚本攻击。由于漏洞出现在内容管理功能的编辑器模块，攻击者注入的恶意脚本可能被存储在服务器端，影响所有访问该内容的用户，形成存储型XSS攻击。攻击者利用此漏洞可窃取用户认证凭证、修改页面内容展示或引导用户至钓鱼页面。系统管理员应立即检查日志确认是否已有利用迹象，并采取紧急缓解措施。