CVE-2025-53523CVE-2025-53523是GroupSession系列产品中发现的一个存储型跨站脚本（Stored XSS）漏洞。该漏洞影响GroupSession Free 5.3.0之前版本、GroupSession byCloud 5.3.3之前版本以及GroupSession ZION 5.3.2之前版本。攻击者作为已登录用户，可以在系统中注入恶意脚本代码，该脚本会被永久存储在服务器端。当其他用户访问包含恶意内容的页面时，攻击者的JavaScript代码将在受害者浏览器中执行，可能导致会话劫持、敏感信息窃取、钓鱼攻击等安全风险。由于该漏洞属于存储型XSS，恶意脚本会在服务器端持久化存在，影响范围更广，危害性较大。CVSS评分5.4，属于中等严重程度，但结合实际利用场景，可能造成严重后果。
存储型XSS漏洞允许攻击者将恶意JavaScript代码持久化存储在服务器数据库中。与反射型XSS不同，存储型XSS的payload会永久保存在目标系统中，当其他用户访问受影响页面时自动执行。攻击者首先需要拥有一个有效的GroupSession账户（低权限即可），通过在用户资料、评论、文件描述等输入字段中注入恶意脚本代码。由于应用程序未对用户输入进行充分的HTML转义或内容安全策略限制，恶意代码被直接存储并在后续页面访问时回显到受害者浏览器中。受害者访问包含恶意内容的页面时，浏览器会执行注入的JavaScript代码，攻击者可借此窃取用户会话cookie、模拟用户操作或进行进一步的攻击。由于payload存储在服务器端，攻击只需诱导用户访问特定URL即可，无需向用户发送钓鱼链接。