CVE-2025-66501CVE-2025-66501是Foxit eSign产品中存在的一个存储型跨站脚本(XSS)漏洞，CVSS评分为6.3，属于中危级别。该漏洞位于pdfonline.foxit.com的Predefined Text功能中，攻击者可以通过身份信息的"First Name"字段注入恶意脚本代码。由于该字段内容在存储时未进行充分的输入验证和输出编码，恶意payload会被永久存储在服务器端。当其他用户使用预定义文本功能或查看文档属性时，存储的恶意脚本会被渲染到页面DOM中执行，从而窃取用户会话cookie、劫持用户账户或进行其他恶意操作。此漏洞需要低权限用户即可实施，且需要受害者进行一定交互才能触发。
该存储型XSS漏洞源于Foxit eSign的Predefined Text功能对用户输入的"First Name"字段缺乏适当的输入验证和输出编码。攻击者首先在账户注册或编辑身份信息时，在"First Name"字段中注入恶意XSS payload（如：<script>alert(document.cookie)</script>）。由于后端未对该字段进行安全过滤，payload被直接存储到数据库中。当其他用户访问使用预定义文本的文档或查看包含该身份信息的文档属性时应用程序从数据库读取并直接将数据渲染到HTML页面中，未经任何转义处理。浏览器接收到包含恶意脚本的页面后执行其中的JavaScript代码。攻击者可以利用此漏洞窃取受害者的认证令牌、进行钓鱼攻击或在受害者权限下执行操作。由于是存储型XSS，攻击只需一次注入即可影响所有访问该内容的用户。