CVE-2025-66523CVE-2025-66523是Foxit Sign电子签名服务中存在的一个反射型跨站脚本（XSS）漏洞。该漏洞的根因在于应用程序将URL参数直接嵌入到JavaScript代码或HTML属性中，而未进行适当的编码或清理。攻击者可以利用此漏洞构造恶意链接，当认证用户访问该链接时，攻击者注入的恶意JavaScript代码将在用户浏览器中执行，从而窃取用户会话Cookie、劫持用户账户或进行其他恶意操作。由于该漏洞需要用户交互（点击恶意链接），且攻击者需要诱导已认证用户访问恶意链接，因此攻击复杂度较低，但对用户隐私和数据安全构成实质性威胁。此漏洞影响na1.foxitesign.foxit.com在2026年1月16日之前的所有版本。Foxit作为知名的PDF和电子文档解决方案提供商，其电子签名服务被广泛应用于企业文档签署流程，因此该漏洞可能影响大量企业用户。
该反射型XSS漏洞源于Foxit Sign应用程序对用户输入的URL参数缺乏有效的输入验证和输出编码。当应用程序处理包含特殊字符的URL参数时，这些参数值被直接回显到响应页面的JavaScript代码或HTML属性中，绕过了浏览器的同源策略安全机制。攻击者可以通过构造包含恶意JavaScript代码的URL参数（如<script>alert(document.cookie)</script>或事件处理器如onerror=alert(1)）来触发漏洞。由于URL参数在HTTP请求过程中可见，攻击者可以轻松构造看似合法的恶意链接，并通过社会工程学手段诱导目标用户点击。攻击成功后，恶意脚本以目标用户的上下文在受害者浏览器中执行，可访问该用户的会话信息、执行任意操作并可能横向移动到其他功能模块。该漏洞的利用不需要任何特殊权限或认证，普通互联网用户均可尝试发起攻击。