CVE-2025-64167Combodo iTop是一款基于Web的IT服务管理工具，广泛用于企业的服务台管理、变更管理、配置管理等领域。该工具为IT运维团队提供了流程化和自动化的管理能力。然而，在2.7.13和3.2.2之前的版本中，iTop存在一处严重的跨站脚本（Cross-Site Scripting，XSS）安全漏洞。攻击者可以通过在URL参数中注入恶意脚本代码，当其他用户访问包含恶意链接的页面时，会在用户浏览器中执行任意JavaScript代码。此漏洞无需认证即可利用，但需要诱导用户点击恶意构造的链接。由于iTop通常部署在企业内部网络并处理敏感的配置和变更数据，攻击者利用此漏洞可窃取用户会话Cookie、劫持用户账户、读取敏感配置信息，甚至在内网环境中进一步横向移动。官方已在2.7.13和3.2.2版本中通过弃用export.php并启用新的export-v2.php接口完成了漏洞修复。
该漏洞存在于Combodo iTop的export.php模块中，具体问题是在处理用户输入的URL参数时未对特殊字符进行充分的输入验证和输出编码。当用户通过GET请求访问export.php页面并在URL中携带恶意构造的参数值时（如包含<script>alert(1)</script>等JavaScript代码），这些未经过滤的数据会被直接嵌入到返回的HTML页面中。由于浏览器会将页面内容解析为HTML和JavaScript，嵌入的恶意脚本代码将被执行。攻击者利用此漏洞可窃取受害者的会话令牌、模拟用户操作、读取页面中显示的敏感IT配置数据。官方修复方案是将export.php标记为弃用，并使用新的export-v2.php接口替代，新接口对所有用户输入实施了严格的输入验证和安全编码机制。