CVE-2025-63443CVE-2025-63443是一个影响School Management System PHP v1.0的跨站脚本攻击（XSS）漏洞。该漏洞存在于系统的登录页面（login.php）中，具体位于password参数位置。攻击者可以通过在登录页面的密码字段中注入恶意JavaScript代码，当其他用户访问该页面或查看相关日志时，注入的脚本代码将在用户浏览器中执行。这可能导致会话劫持、敏感信息窃取、凭据盗取等安全问题。由于该漏洞位于登录页面，攻击者可以利用此漏洞获取合法用户的登录凭据，进而获取系统管理权限或访问敏感教育数据。School Management System通常用于学校和教育机构管理学生信息、成绩、考勤等敏感数据，因此该漏洞可能造成严重的数据泄露风险。CVSS 3.1评分5.4属于中等严重程度，攻击复杂度低，但需要用户交互才能成功利用。
该漏洞是一个典型的反射型XSS（Reflected XSS）漏洞，位于login.php页面的password参数。攻击者构造恶意链接或在登录表单中提交包含JavaScript代码的密码值。由于应用程序未对用户输入进行充分的输入验证和输出编码，恶意脚本代码被服务器反射回用户浏览器并执行。漏洞利用过程如下：1）攻击者构造包含XSS payload的登录请求，如在password参数中注入<script>alert(document.cookie)</script>；2）受害者访问该链接或提交恶意密码后，服务器将未过滤的输入作为响应的一部分返回；3）浏览器解析响应时执行注入的JavaScript代码，可窃取用户会话cookie、劫持用户会话或重定向到钓鱼页面。由于登录页面涉及身份认证，该漏洞可被用于实施钓鱼攻击，窃取用户凭据或获取系统访问权限。攻击者还可以利用此漏洞在受害者浏览器中执行任意JavaScript代码，进行键盘记录、修改页面内容或植入恶意软件。