CVE-2025-64177: ThinkDashboard存储型XSS漏洞

ThinkDashboard是用Go和原生JavaScript构建的自托管书签仪表盘。在0.6.7及以下版本中存在存储型跨站脚本漏洞。攻击者可以利用该漏洞在仪表盘中注入恶意脚本，当其他用户访问受污染的书签时，恶意代码将在其浏览器中执行。漏洞源于系统缺乏对URL scheme的有效过滤机制，允许攻击者注入javascript:等协议前缀的恶意代码。

这是一个典型的存储型XSS漏洞。ThinkDashboard在处理用户输入的书签URL时，没有对URL scheme进行严格的验证和过滤。攻击者可以构造包含javascript:协议的恶意URL，当其他用户点击这些书签时，浏览器会执行注入的JavaScript代码。攻击者可以窃取用户会话cookie、劫持用户账户或进行其他恶意操作。修复版本0.6.8已加强URL scheme的过滤机制。