CVE-2025-61933CVE-2025-61933 是 F5 BIG-IP APM（Access Policy Manager）产品中一个未公开页面存在的反射型跨站脚本（Reflected XSS）漏洞。该漏洞于2025年10月15日由 F5 安全事件响应团队（[email protected]）披露，CVSS 3.1 基础评分为 6.1 分，属于中危级别。
根据 CVSS 向量分析，该漏洞的攻击向量为网络（AV:N），攻击复杂度低（AC:L），无需任何权限即可利用（PR:N），但需要用户交互（UI:R）。漏洞的影响范围发生了变化（S:C），表明该 XSS 漏洞可能影响 APM 组件内的其他资源。机密性影响为低（C:L），完整性影响为低（I:L），可用性影响为无（A:N）。
该漏洞允许攻击者在目标已注销用户的浏览器上下文中执行任意 JavaScript 代码。由于是反射型 XSS，攻击者需要通过社会工程学手段诱导用户点击特制的恶意链接。一旦成功利用，攻击者可以窃取用户的会话 Cookie、获取敏感信息、执行未授权操作，或者进行钓鱼攻击。值得注意的是，F5 官方声明已停止技术支持（End of Technical Support, EoTS）的软件版本不在评估范围内，因此用户需要确认其使用的 BIG-IP APM 版本是否仍在支持周期内。
反射型跨站脚本（Reflected XSS）是一种常见的 Web 应用程序安全漏洞，其核心原理是 Web 应用程序未对用户输入进行充分的过滤和转义，直接将用户提供的输入数据反射回 HTTP 响应页面中，导致浏览器将其解析为可执行的脚本代码。
在 CVE-2025-61933 中，漏洞存在于 F5 BIG-IP APM 的某个未公开披露的页面中。BIG-IP APM 是 F5 提供的访问策略管理器，广泛应用于企业 VPN、单点登录（SSO）、Web 访问控制等场景。当已注销的用户访问 APM 门户时，如果 APM 页面在处理某些 HTTP 请求参数（如 URL 参数、表单字段或 HTTP 头）时未对这些输入进行适当的 HTML 编码或转义，攻击者就可以构造包含恶意 JavaScript 代码的 URL。
利用方式如下：
1. 攻击者构造一个特制的恶意 URL，该 URL 中包含恶意的 JavaScript 代码片段（例如 <script>alert(document.cookie)</script> 或更复杂的 payload）；
2. 攻击者通过电子邮件、即时通讯工具或其他社会工程学手段诱导已注销的目标用户点击该链接；
3. 当用户点击链接后，浏览器向 BIG-IP APM 服务器发起请求；
4. APM 服务器将恶意输入直接嵌入到返回的 HTML 页面中，未进行适当的过滤；
5. 浏览器接收到响应后，解析并执行嵌入的恶意 JavaScript 代码；
6. 恶意代码在用户的浏览器上下文中执行，可以窃取 Cookie、会话令牌，或者进行其他恶意操作。
由于 CVSS 向量中包含 S:C（Scope Changed），这表明 XSS 漏洞的影响超出了 APM 组件本身，可能影响到通过 APM 访问的其他 Web 应用程序或资源。