CVE-2025-61999CVE-2025-61999是OPEXUS FOIAXpress（Freedom of Information Act Xpress，一款用于管理信息公开请求的企业级软件平台）中存在的一个存储型跨站脚本（Stored XSS）漏洞。该漏洞的CVSS 3.1评分为4.3分，严重等级为MEDIUM（中危），于2025年10月8日正式披露。
根据漏洞描述，FOIAXpress在11.13.3.0版本之前，允许具有管理员权限的用户上传包含JavaScript或其他可执行内容的SVG图像文件作为系统Logo。上传后的恶意内容会被持久化存储在服务器端，当其他用户（包括普通用户或其他管理员）查看包含该Logo的页面时，嵌入在SVG中的恶意脚本将在受害者浏览器的上下文中自动执行。
该漏洞的成功利用允许攻击者（拥有管理员权限的恶意用户或被入侵的管理员账户）在受害者的身份上下文中执行任意操作，包括但不限于窃取用户的会话Cookie、获取登录凭证、访问敏感数据，以及以受害者身份执行未授权的操作。由于FOIAXpress通常用于处理政府信息公开请求，其中包含大量敏感信息，因此该漏洞对数据机密性和完整性均构成潜在威胁。
该漏洞的CVSS向量表明其攻击向量为网络（AV:N），攻击复杂度低（AC:L），但需要高权限（PR:H），需要用户交互（UI:R），对机密性、完整性和可用性影响均为低级别（L:L:L）。
该漏洞的核心原理在于FOIAXpress对用户上传的SVG图像文件缺乏充分的内容验证和过滤机制。SVG（Scalable Vector Graphics）是一种基于XML的矢量图形格式，与常见的位图格式（如PNG、JPG）不同，SVG文件本质上是一个XML文档，可以包含JavaScript脚本、事件处理器以及外部资源引用等可执行内容。
漏洞利用的技术流程如下：
1. **文件上传阶段**：攻击者（具有管理员权限）精心构造一个恶意的SVG文件，在其中嵌入JavaScript代码。常见的注入方式包括使用`<script>`标签、SVG事件处理器（如`onload`、`onclick`）或`<foreignObject>`标签嵌入HTML内容。由于系统未对SVG文件进行安全过滤，恶意文件被成功上传并存储为系统Logo。
2. **内容持久化**：上传的恶意SVG文件被存储在服务器端的文件系统中，并在后续页面渲染时被作为Logo资源引用。由于是存储型XSS，恶意代码会持续影响所有访问相关页面的用户。
3. **脚本执行阶段**：当其他用户（受害者）访问包含该恶意Logo的页面时，浏览器会解析SVG文件并执行其中嵌入的JavaScript代码。此时，恶意脚本运行在受害者的浏览器会话上下文中，拥有与正常页面相同的权限和访问能力。
4. **数据窃取与操作**：攻击者注入的脚本可以执行多种恶意操作，包括通过`document.cookie`窃取会话Cookie（若未设置HttpOnly标志）、构造伪造表单窃取用户凭证、利用AJAX请求以受害者身份执行操作，以及将敏感数据外传到攻击者控制的服务器。
该漏洞的利用前提是攻击者必须拥有管理员权限（PR:H），这在一定程度上限制了其攻击范围，但同时也意味着该漏洞可能被用于横向攻击——即一个被入侵的管理员账户可利用此漏洞攻击其他管理员或高权限用户，从而提升攻击影响。