CVE-2025-66502CVE-2025-66502是Foxit PDFOnline（pdfonline.foxit.com）存在的一个存储型跨站脚本攻击（Stored XSS）漏洞。该漏洞位于页面模板（Page Templates）功能中，攻击者可以通过精心构造的恶意载荷（Payload）将其存储为模板名称。由于该模板名称在后续被加载到DOM中时未经过充分的消毒处理，导致注入的恶意JavaScript脚本在每次加载受影响的PDF文件时都会执行。成功利用此漏洞的攻击者可以在受害者浏览器中执行任意JavaScript代码，从而窃取用户会话Cookie、劫持用户账户、进行钓鱼攻击或传播恶意软件。由于该漏洞为存储型XSS，其危害性高于反射型XSS，因为恶意脚本会持久存在于服务器端，影响所有访问该PDF的用户。
该漏洞的根本原因在于Foxit PDFOnline的Page Templates功能对用户输入的模板名称缺乏有效的输入验证和输出编码。当用户创建一个新的页面模板时，系统直接接受并存储用户提供的模板名称，而未对其中的HTML特殊字符或JavaScript代码进行转义或过滤。随后，当其他用户打开包含该恶意模板的PDF文档时，后端系统会从数据库中检索该模板名称并直接嵌入到网页的DOM结构中。由于缺少适当的HTML实体编码（如将<转换为<，将>转换为>），浏览器会将这些恶意脚本内容解析为可执行的JavaScript代码并执行。攻击者可以利用此漏洞执行多种客户端攻击，包括但不限于：窃取用户认证令牌、修改页面内容显示、诱导用户输入敏感信息、或将用户重定向至钓鱼网站。该漏洞的利用需要攻击者具有一定的用户权限（低权限即可），并且需要诱导受害者与恶意PDF进行交互。