CVE-2025-63498: alinto SOGo userName参数跨站脚本漏洞

alinto SOGo 5.12.3版本存在存储型跨站脚本漏洞，攻击者可通过userName参数注入恶意JavaScript代码，当其他用户访问受影响页面时，恶意脚本会在其浏览器中执行，可能导致会话劫持、敏感信息窃取等安全问题。

该漏洞源于SOGo应用在处理userName参数时未进行充分的输入验证和输出编码。攻击者可在注册或修改用户资料时，将恶意脚本代码（如<script>alert('XSS')</script>）作为userName值提交。由于应用未对输出进行HTML实体编码，该脚本会被存储在服务器端，并在其他用户查看相关信息时被浏览器解析执行。