CVE-2025-65572CVE-2025-65572是AllskyTeam AllSky软件中的一个存储型跨站脚本（Stored XSS）漏洞。该漏洞存在于allskySettings.php页面，攻击者可以通过config、filename或extratext参数注入恶意JavaScript脚本。由于漏洞位于服务器端存储，当其他用户访问allskySettings.php页面或页面重新加载时，注入的恶意代码会被status_messages.php中的showMessages()函数输出并执行，从而窃取用户会话cookie、劫持用户账户或进行其他恶意操作。该漏洞无需认证即可利用，但需要用户交互才能触发，对机密性造成低影响，对完整性造成低影响。CVSS评分6.1，属于中等严重程度。
该漏洞为存储型XSS，攻击者利用AllSky系统的allskySettings.php页面中的输入验证不足，通过config、filename或extratext参数注入恶意脚本代码。恶意输入被存储在服务器端，当受害用户访问allskySettings.php页面时，系统调用status_messages.php中的showMessages()函数显示消息，该函数直接将未经过滤的用户输入输出到HTML页面中，导致注入的JavaScript代码在受害者浏览器中执行。攻击者可利用此漏洞窃取会话令牌、修改页面内容、进行钓鱼攻击或进一步横向移动。由于该漏洞位于管理界面，攻击成功可能获取更高权限。修复需要对这些参数进行严格的输入验证和输出编码。