CVE-2025-63528Blood Bank Management System 1.0是一款用于管理血液库的系统软件。在该系统的blooddinfo.php组件中存在一处存储型跨站脚本（Stored XSS）漏洞。漏洞产生的根本原因是应用程序在处理用户输入时未能对特殊字符进行充分的过滤和编码处理，导致攻击者可以通过特定参数注入恶意JavaScript代码。当其他用户访问包含恶意代码的页面时，注入的脚本会在受害者浏览器中执行，可能导致敏感信息泄露、会话劫持、钓鱼攻击等严重安全问题。鉴于该系统通常用于医疗机构，漏洞的存在可能对患者隐私和医疗数据安全造成更大威胁。CVSS评分8.5分，属于高危漏洞，攻击复杂度低，无需特殊权限即可实施攻击。
漏洞位于Blood Bank Management System 1.0的blooddinfo.php文件中。该文件在处理用户请求时，直接将URL参数（如error参数）的值未经过滤就输出到HTML页面中。具体来说，当用户访问类似/blooddinfo.php?error=<script>alert(document.cookie)</script>的URL时，应用程序会将<script>alert(document.cookie)</script>作为普通文本输出到页面。由于浏览器会将<script>标签内的内容作为JavaScript代码执行，因此攻击者注入的恶意脚本将在访问该页面的用户浏览器中运行。攻击者可以利用此漏洞窃取用户会话cookie、劫持用户账号、进行钓鱼攻击或植入更多恶意内容。该漏洞属于反射型XSS与存储型XSS的结合利用，攻击者通常通过社会工程学手段诱导受害者访问特制的恶意链接。