CVE-2025-56536OpenNebula v6.10.0.1版本中存在存储型跨站脚本（XSS）漏洞。该漏洞源于应用程序对用户输入参数（用户信息）缺乏充分的过滤和转义。攻击者无需认证即可利用此漏洞，通过注入恶意脚本载荷到用户信息字段，当其他用户查看该数据时，恶意脚本将在受害者浏览器中执行。攻击者可借此窃取用户Cookie、会话令牌，或执行其他恶意操作，对系统机密性和完整性造成低等影响。
该漏洞属于存储型跨站脚本攻击（Stored XSS），主要影响OpenNebula v6.10.0.1版本。漏洞的根本原因在于服务器端未对“用户信息”参数进行严格的输入清洗和上下文相关的输出编码。攻击者可以利用这一缺陷，构造精心设计的恶意JS脚本，并通过HTTP请求将其注入到受影响字段中。一旦注入成功，恶意载荷会被持久化保存在后端数据库中。当特权用户（如管理员）浏览受污染的管理界面时，服务器会直接从数据库读取并渲染该数据，导致恶意脚本在受害者的浏览器环境中自动执行。由于是存储型攻击，恶意代码会长期存在，具有较高的隐蔽性和危害性。攻击者可借此窃取凭证、重定向用户或执行进一步的客户端攻击。