CVE-2025-63947CVE-2025-63947是phpMsAdmin 2.2版本中的一个反射型跨站脚本（Reflected XSS）漏洞。该漏洞存在于database_mode.php文件中，攻击者可以通过dbname参数注入恶意JavaScript代码。当已认证的用户访问包含恶意脚本的链接时，攻击者即可在用户浏览器中执行任意Web脚本或HTML代码。反射型XSS攻击通常依赖于社会工程学手段，诱导用户点击特制的链接。由于该漏洞需要用户交互和低权限认证，攻击复杂度较低，但仍可能导致会话劫持、敏感信息窃取、钓鱼攻击等严重后果。phpMsAdmin是一款基于Web的phpMyAdmin替代工具，用于管理MySQL数据库，此次漏洞影响了其核心功能模块。
该反射型XSS漏洞位于phpMsAdmin 2.2的database_mode.php文件中。漏洞根源在于程序对用户输入的dbname参数未进行充分的输入验证和输出编码。当用户通过URL传递包含恶意脚本的dbname参数值时，该值被直接嵌入到响应页面的HTML中，而未经任何转义处理。攻击者构造形如?dbname=<script>alert(document.cookie)</script>的恶意URL，受害用户在登录后访问该链接时，浏览器会执行注入的JavaScript代码。由于是反射型XSS，恶意脚本不会存储在服务器端，而是通过URL参数即时反射给用户。攻击者可利用此漏洞窃取用户会话Cookie、进行按键记录、修改页面内容或重定向用户至钓鱼站点。攻击成功的前提是用户已认证并点击了攻击者提供的链接。