CVE-2025-65590nopCommerce是一款基于ASP.NET Core的开源电子商务平台，广泛应用于各类在线商城和B2C网站。该平台提供了完整的电商解决方案，包括产品管理、订单处理、支付集成、博客系统等功能模块。
在nopCommerce 4.90.0版本中，Content Management（内容管理）模块下的Blog posts（博客文章）功能存在一处存储型跨站脚本（Stored XSS）漏洞。攻击者可以利用该漏洞在博客文章内容中注入恶意JavaScript或HTML代码。当其他用户访问包含恶意代码的博客页面时，注入的脚本会在受害者浏览器上下文中执行，从而实现会话劫持、敏感信息窃取、钓鱼攻击或对网站进行进一步渗透等恶意行为。
该漏洞的CVSS 3.1评分达到5.4，属于中等严重程度。攻击向量为网络可访问，攻击复杂度较低，但需要低权限认证（攻击者需要拥有博客内容管理权限）。漏洞影响系统的机密性和完整性，低程度影响可用性。鉴于nopCommerce在电商领域的广泛应用，该漏洞可能影响大量使用该版本的用户，需要及时采取修复措施。
漏洞根源在于nopCommerce 4.90.0的博客文章发布功能对用户输入内容缺乏充分的输入验证和输出编码处理。当管理员或具有博客发布权限的用户在创建或编辑博客文章时，系统未能对文章标题、内容、标签等字段进行严格的XSS过滤。
具体而言，攻击者可以在博客文章的HTML内容中嵌入恶意脚本标签，如<script>alert(document.cookie)</script>或<img src=x onerror=恶意代码>等。由于系统直接存储并渲染这些未经过滤的内容，恶意代码被永久保存在数据库中。当其他用户访问该博客文章页面时，服务器将包含恶意代码的HTML响应发送给客户端浏览器，浏览器解析执行这些脚本。
利用此漏洞的攻击流程：首先攻击者需要获取博客内容管理权限（低权限账户即可），然后在博客文章中插入XSS payload，保存文章后等待受害者访问。攻击成功后可获取受害者的认证Cookie、会话令牌等敏感信息，甚至可以通过DOM操作篡改页面内容或重定向用户到钓鱼站点。由于是存储型XSS，攻击具有持久性，影响范围覆盖所有访问该博客文章的用户。