CVE-2025-5343 ManageEngine Exchange Reporter Plus存储型XSS漏洞

Zohocorp ManageEngine Exchange Reporter Plus是一款企业级Exchange服务器报告和审计解决方案。该产品在5721及之前版本中存在存储型跨站脚本（Stored XSS）漏洞，漏洞位于即时搜索（Instant Search）功能模块。攻击者可以通过在搜索功能中注入恶意JavaScript代码，当其他用户访问相关页面时，恶意脚本会自动执行，从而窃取用户会话cookie、劫持用户账户或进行其他恶意操作。由于该漏洞为存储型，恶意代码会被永久保存在服务器端，所有访问该内容的用户都会受到影响。

该漏洞源于ManageEngine Exchange Reporter Plus的即时搜索功能对用户输入缺乏充分的输入验证和输出编码。攻击者可以在搜索字段中注入包含<script>标签或JavaScript事件处理器的恶意代码。由于应用未对特殊字符进行正确转义，该代码会被存储在数据库中。当其他用户访问包含该搜索结果的页面时，浏览器会将其作为合法脚本执行，从而绕过同源策略限制。攻击者可利用此漏洞窃取受害者的认证令牌、凭据或执行任意操作。