CVE-2025-67078CVE-2025-67078是Omnispace Agora Project中的一个存储型跨站脚本（XSS）漏洞。该漏洞存在于文件控制器的notify参数中，用于显示错误信息。由于应用程序未对用户输入进行充分的过滤和转义，攻击者可以通过该参数注入恶意JavaScript代码。当其他用户访问包含恶意脚本的页面时，攻击脚本将在受害者浏览器中执行，可能导致会话劫持、敏感信息窃取、钓鱼攻击等严重后果。该漏洞无需认证即可利用，但需要用户交互才能触发。CVSS评分为6.1，属于中危级别。攻击复杂度低，影响范围包括机密性和完整性，低可用性影响。
该XSS漏洞位于Omnispace Agora Project的文件控制器中，具体在处理notify参数时未进行适当的输入验证和输出编码。攻击者可以通过构造包含恶意JavaScript代码的URL来利用此漏洞，例如在notify参数中注入<script>alert(document.cookie)</script>等Payload。当应用程序将该参数值回显到错误页面时，恶意脚本会被浏览器解析执行。由于漏洞存在于错误处理逻辑中，任何能够触发错误显示的场景都可能成为攻击向量。攻击者可以利用此漏洞窃取用户会话Cookie、劫持用户账户或进行进一步的社会工程攻击。