CVE-2025-61456CVE-2025-61456是一个存在于Bhabishya-123 E-commerce 1.0版本中的反射型跨站脚本（XSS）漏洞。该漏洞位于应用的index端点，具体涉及/index参数的处理逻辑。由于服务器端未对用户通过该参数提交的输入进行充分的过滤、转义或编码处理，恶意输入被直接反射回响应HTML页面中，导致攻击者能够在受害者浏览器中执行任意JavaScript代码。
该漏洞的CVSS 3.1评分为6.1，属于中危级别。其攻击向量为网络（AV:N），攻击复杂度低（AC:L），无需任何特权或认证（PR:N），但需要用户交互（UI:R），例如受害者点击恶意链接或访问特制页面。成功利用该漏洞后，攻击者可以在受害者的浏览器上下文中执行脚本，可能窃取会话Cookie、劫持用户会话、进行钓鱼攻击或篡改页面内容。漏洞的影响范围为作用域变更（S:C），机密性和完整性影响均为低，无可用性影响。
该漏洞由CVE数据库于2025年10月20日披露，发现者为[email protected]。作为一款开源电子商务平台，Bhabishya-123 E-commerce的此版本用户面临会话劫持和数据泄露的风险。建议用户和开发者尽快采取修复措施以消除安全隐患。
该漏洞的根本原因在于Bhabishya-123 E-commerce 1.0的index端点对用户输入的处理不当。具体而言，当用户访问带有恶意参数的URL时，例如 `http://target/index?index=<script>alert(document.cookie)</script>`，服务器将/index参数的值未经任何HTML实体编码或过滤直接嵌入到返回的HTML响应中。
由于浏览器将服务器返回的内容视为可信内容，嵌入的恶意JavaScript代码将在受害者的浏览器上下文中执行。由于该漏洞是反射型XSS，攻击代码不会持久存储在服务器端，而是需要通过社会工程学手段诱导受害者点击特制的恶意链接。攻击者可以将恶意代码嵌入URL中，通过电子邮件、即时消息或论坛帖子等方式传播。
利用方式相对简单：攻击者构造包含恶意脚本的URL，利用钓鱼邮件或即时通讯工具发送给目标用户。当用户点击链接时，恶意脚本将在用户已认证的会话中执行，从而可以窃取Cookie、会话令牌，或执行其他恶意操作如伪造转账请求、重定向到钓鱼页面等。修复方案包括对所有用户输入进行严格的HTML实体编码、使用内容安全策略（CSP）头以及采用现代的模板引擎自动转义输出。