CVE-2025-65592CVE-2025-65592是存在于nopCommerce 4.90.0版本中的一个存储型跨站脚本攻击（Stored XSS）漏洞。该漏洞位于产品管理功能模块，攻击者可以在创建或编辑产品时，在「产品名称」（Product Name）和「简短描述」（Short Description）字段中注入恶意JavaScript脚本代码。由于应用程序缺乏对用户输入的有效过滤和转义，这些恶意载荷会被直接存储到后端数据库中。当其他用户访问受影响的页面时，存储的恶意脚本会自动执行，可能导致会话劫持、Cookie窃取、钓鱼攻击或恶意内容传播。由于该漏洞为存储型XSS，攻击载荷具有持久性，一旦注入成功，所有访问相关页面的用户都将受到威胁。此漏洞的利用需要攻击者具有产品管理功能的访问权限，但不需要高权限，普通用户即可实施攻击。
该漏洞属于存储型XSS（Stored Cross-Site Scripting）漏洞，攻击向量为Web应用输入验证不足。在nopCommerce 4.90.0的产品管理模块中，当管理员或具有产品编辑权限的用户在「产品名称」和「简短描述」字段中输入内容时，应用程序未对特殊字符进行适当的HTML实体编码或输入过滤。攻击者可以构造包含JavaScript代码的恶意载荷，例如：<script>alert(document.cookie)</script>或<img src=x onerror=恶意代码>。这些载荷被保存到数据库后，在后续页面渲染时未经转义直接输出到HTML中。当受害者（管理员或其他用户）访问产品列表或详情页面时，浏览器会将其解析为可执行脚本。攻击者可利用此漏洞窃取用户会话令牌、劫持账户、修改页面内容或进行进一步的社会工程攻击。由于攻击者可以控制产品信息，任何查看相关产品的用户都将成为潜在受害者。