CVE-2025-66486IBM Aspera Shares 1.9.9至1.11.0版本存在HTML注入漏洞。由于缺乏对用户输入的适当过滤，远程攻击者可注入恶意HTML代码。当受害者浏览被注入的页面时，代码将在其浏览器上下文中执行，可能导致信息泄露或客户端攻击。
该漏洞的根源在于IBM Aspera Shares应用程序在处理用户输入数据时，缺乏对HTML特殊字符及标签的有效过滤与转义机制。根据CVSS向量分析，攻击者需具备高权限（PR:H）账号，这通常意味着攻击可能是内部人员或通过其他方式获取了初步权限。利用过程中，攻击者向系统特定字段（如文件名、共享描述等）注入精心构造的HTML代码。由于系统未做清洗，这些恶意代码被持久化存储或即时反射。当其他拥有更高权限的用户（如管理员）浏览受影响页面时，恶意HTML将在其浏览器上下文中解析执行。这不仅可能导致页面布局被破坏，还可结合JavaScript进行窃取凭证、执行恶意操作等后续攻击，严重威胁内部数据安全。