CVE-2025-65187CVE-2025-65187是CiviCRM中的一个高危安全漏洞，属于存储型跨站脚本（Stored Cross Site Scripting）类型。该漏洞存在于CiviCRM 6.7之前版本的会计批次（Accounting Batches）功能字段中。攻击者作为已认证用户，可以在会计批次的相关输入字段中注入恶意JavaScript代码。由于该数据会存储在后端数据库中，当其他用户访问或查看包含该恶意内容的页面时，注入的脚本代码会自动执行。这使得攻击者能够窃取受害者的会话Cookie、劫持用户账户、进行钓鱼攻击或执行其他恶意操作。由于该漏洞位于核心功能的常见入口点，潜在影响范围较广，建议受影响的用户尽快升级到修复版本。
该存储型XSS漏洞源于CiviCRM在处理会计批次字段输入时缺乏充分的输入验证和输出编码。当用户创建或编辑会计批次记录时，系统未能对用户输入的特殊字符（如<、>、"、'等）进行适当转义或过滤，直接将原始输入存储到数据库中。随后当页面渲染这些数据时，浏览器将其作为HTML或JavaScript解析执行。攻击者可通过在会计批次名称、描述或相关文本字段中插入恶意脚本标签（如<script>alert(document.cookie)</script>或事件处理器如<img src=x onerror=...>），实现持久化的跨站脚本攻击。由于存储型XSS的攻击代码驻留在服务器端，每次有用户访问受影响页面时都会触发，无需依赖社会工程学诱导受害者点击特定链接。