CVE-2025-61931CVE-2025-61931是Pleasanter应用中存在的一个存储型跨站脚本（Stored Cross-Site Scripting）漏洞。该漏洞位于Pleasanter的Body（正文）、Description（描述）和Comments（评论）字段中，攻击者可以通过在这些字段中注入恶意JavaScript代码，当其他用户浏览包含该恶意内容时，脚本将在受害者的浏览器上下文中执行。成功利用此漏洞的攻击者可以窃取用户的会话cookie、劫持用户账户、执行未经授权的操作，甚至传播恶意软件。由于该漏洞为存储型XSS，恶意脚本会持久保存在服务器端，所有访问该内容的用户都会受到影响，危害范围较广。
该存储型XSS漏洞源于Pleasanter对用户输入的Body、Description和Comments字段内容缺乏充分的输入验证和输出编码。当用户提交包含恶意脚本的内容时，系统直接将数据存储到数据库中，而未对特殊字符进行HTML实体编码。随后当其他用户访问包含该恶意内容的页面时，服务器从数据库读取数据并直接返回给客户端浏览器，浏览器将其解析为HTML并执行其中的JavaScript代码。攻击者可以利用此漏洞构造如下Payload：<script>alert(document.cookie)</script>或<img src=x onerror=恶意代码>等。攻击者通过诱导具有有效会话的用户访问特制页面，即可实现窃取认证令牌、冒充用户执行操作或修改页面内容等目的。