CVE-2025-68115: Parse Server反射型XSS漏洞

Parse Server是一个开源后端框架，用于构建移动和Web应用程序。在8.6.1之前和9.1.0-alpha.3之前的版本中，存在反射型跨站脚本（XSS）漏洞。漏洞源于密码重置和邮箱验证HTML页面中用户输入的转义处理不当。攻击者可通过构造恶意链接，诱导用户访问包含恶意脚本的URL，从而窃取用户会话、劫持账户或进行钓鱼攻击。该漏洞无需认证即可利用，但需要用户交互。由于CVSS评分为6.1，影响范围包括机密性和完整性，危害程度为中等。

反射型XSS漏洞发生在Parse Server处理密码重置和邮箱验证请求时。攻击者通过在URL参数中注入恶意JavaScript代码，当用户访问特制链接时，服务器直接将用户输入未经转义地嵌入到响应HTML中。浏览器解析HTML时执行注入的脚本代码。攻击者可窃取用户Cookie、会话令牌或进行其他恶意操作。